De VPN op de iPhone altijd aan laten? Twee eisen beslissen

Twee mensen laten hetzelfde VPN-profiel de hele dag aan staan en halen er verschillende waarde uit. De een bereikt een private werkapplicatie zonder erbij na te denken; de ander houdt een persoonlijke tunnel draaiende vooral uit gewoonte. Beiden zien dezelfde indicator in de statusbalk, en die indicator is het enige dat de twee opstellingen delen.

De beslissing gaat niet over de vraag of blijvende dekking veiliger voelt. Ze gaat over welke eis je betaalt, wat de client doet als de gateway onbereikbaar is, en hoeveel van je verkeer de gekozen aanbieder kan zien. Beantwoord die drie en de schakelaar is geen kwestie van smaak meer.

Twee taken die één icoon delen

De eerste taak is toegang: een bepaalde set privébronnen moet bereikbaar zijn wanneer je de app opent, waar je ook bent. De tweede taak is dekking: verkeer dat anders door een onbekend netwerk zou gaan, moet in plaats daarvan via een dienst naar buiten gaan die je vertrouwt.

Ze wijzen op verschillende configuraties. Toegang wil de smalste scope die nog werkt, omdat een volledige tunnel voor één interne applicatie al het andere via een netwerk stuurt dat daar nooit op is berekend. Dekking wil de breedste scope die je kunt verdragen, omdat een tunnel die maar een paar applicaties draagt de rest blootlegt op precies het netwerk waarover je je zorgen maakte. De meeste verkeerd geconfigureerde telefoons eindigen als een mengeling van beide, daarom moet de eis worden benoemd voordat het profiel wordt gekozen.

Privétoegang voor werk: scope gaat boven bestendigheid

Als het doel is een interne applicatie te bereiken, is de nuttige vraag wanneer de tunnel activeert, niet of hij aan blijft. Een beheerde opstelling per app kan alleen het verkeer van die applicatie via de gateway sturen, wat privé browsen op de gewone route houdt en werkverkeer op de goedgekeurde. Dat is een andere vorm van controle dan een volledige tunnel, en het verandert wat de indicator betekent. Bij scope per app kan het pictogram ontbreken terwijl de werk-app zijn dienst nog steeds bereikt.

Die scope is een beleidsbeslissing van de eigenaar van de uitrol, geen persoonlijke voorkeur die je uit het gedrag van de app kunt afleiden. De instelschermen van de client onthullen niet altijd welk van de verschillende mechanismen van het platform van kracht is, en de labels overlappen elkaar op manieren die misleiden.

De documentatie van Apple onderscheidt voorwaardelijke activering, selectie per app en beheerd altijd-aan-gedrag. De automatisch-verbinden-schakelaar van een client van derden hoort op zichzelf bij geen van die categorieën, dus een label dat gelijkwaardig klinkt mag niet als belofte van de beheerde eigenschap worden gelezen.

De praktische controle is een verzoek aan een dienst waarvan je weet dat hij intern is, gedaan met de tunnel bewust uit. Als het slaagt, is de tunnel niet de controle die je denkt, en de rest van de configuratie verdient een tweede blik voordat je erop vertrouwt.

Gedekt browsen: het faalbeleid is het product

Als het doel dekking op onbekende netwerken is, is het interessante deel van het product niet de verbinding maar de verbreking. Twee clients die beide automatisch verbinden, kunnen zich volstrekt anders gedragen op het moment dat de gateway weigert of het netwerk hem blokkeert.

Een blokkeerbeleid maakt gedekt verkeer onbeschikbaar zolang de tunnel niet kan worden opgezet. Dat is de sterkste versie van dekking en de meest verstorende: een storing wordt jouw storing, en een captive portal wordt een muur waar je niet voorbij komt naar de pagina die je zou doorlaten.

Een terugvalbeleid houdt je online door het verkeer de gewone route te laten nemen. Dat is bruikbaarder en per definitie zwakker, omdat juist het moment waarop de tunnel faalt het moment is waarop verkeer ongecodeerd naar buiten gaat via welk netwerk je ook zit. Het verkeer gaat nog steeds naar buiten, en het gaat naar buiten op het netwerk dat je niet vertrouwde. Dat is de ruil, gezegd zonder de marketing.

Geen van beide is fout, en de fout is tijdens een reis ontdekken welke je hebt gekocht. Test het thuis: schakel het vermogen van de tunnel om te verbinden uit en kijk dan of pagina’s laden. Dat ene experiment vertelt je meer dan welke beschrijving op een marketingpagina van een aanbieder dan ook.

Wat de tunnel niet reparereert

Verkeer via één aanbieder routeren geeft die aanbieder een positie in je verbindingspad. Het maakt de sites die je bezoekt niet betrouwbaar, en het vervangt HTTPS, accountbeveiliging of de zorg over welke profielen je installeert niet. Een tunnel die eindigt in het netwerk van een aanbieder is een verandering van wie wat kan waarnemen, niet het wegnemen van de vraag.

Hetzelfde geldt voor het lokale netwerk. Een VPN kan je verkeer weghouden van het toegangsnetwerk van een hotel, en hij kan dat netwerk er niet van weerhouden de tunnel zelf te blokkeren of zich te bemoeien met naamresolutie voordat de tunnel bestaat.

Prestaties en batterij vallen in dezelfde categorie van eerlijke observatie. Aan de indicator hangt geen vaste straf; de route die de gateway neemt, de kwaliteit van het toegangsnetwerk, de hoeveelheid verkeer en de frequentie van herverbindingen bewegen allemaal het getal. Twee configuraties vergelijken bij hetzelfde gebruik is de enige meting die iets betekent.

Kies voor het toestel dat je werkelijk hebt

Op een persoonlijke telefoon kies je het gedrag dat bij je eis past en schrijf je het faalbeleid op dat je hebt geaccepteerd. Als je dekking met blokkering hebt gekozen, houd dan een manier om de statuspagina van de aanbieder vanaf een ander apparaat te bereiken; als je terugval hebt gekozen, weet dan dat het falen van de tunnel stil is door het ontwerp.

Op een beheerde werktelefoon is het antwoord het beleid van de beheerder, en het ontbreken van een pauzebesturing is meestal bewust en niet een omissie die je moet omzeilen. Een uitzondering vragen via het normale kanaal is sneller dan een omweg vinden die de volgende profielupdate verwijdert.

Hoe dan ook, herzie de beslissing wanneer het doel verandert. Een tunnel die voor één interne applicatie is geconfigureerd, past slecht bij dekking voor browsen op volle tijd, en een volledige-tunnelprofiel dat voor één app wordt aangehouden, verplaatst stilletjes veel verkeer dat je nooit van plan was over te dragen.