VPN-pictogram op iPhone aan: dekt het elke app of werkt het alleen?
Eén badge, drie verschillende beweringen. Scheid wat het profiel dekt, wat on-demand-regels doen en welke adresfamilie je werkelijk hebt getest.
De badge verschijnt, de app gedraagt zich nog steeds alsof hij thuis is, en de voor de hand liggende conclusie is dat de tunnel kapot is. Meestal is er niets kapot. De badge meldt één verbinding, terwijl de vraag erachter over dekking gaat, en dat zijn verschillende beweringen.
Drie voorwaarden bepalen welke bewering je kunt doen. Tot die zijn opgehelderd, is elk testresultaat dubbelzinnig.
Drie antwoorden schuilen achter één pictogram
De eerste vraag is wat je wilde dat de tunnel deed. Een interne wiki bereiken, je adres voor een streamingdienst verbergen en één beheerde app beschermen zijn drie verschillende eisen die drie verschillende profielen vervullen.
De tweede is van wie het profiel is. Een persoonlijk geïnstalleerde configuratie gedraagt zich anders dan een die door een beheersysteem wordt uitgerold, en alleen de tweede kan regels per app dragen die iOS afdwingt. De badge kan die twee niet onderscheiden.
De derde is de adresfamilie waarop je staat. Een tunnel die IPv4 draagt terwijl het netwerk IPv6 uitdeelt, laat één pad buiten de tunnel. Een test die alleen een IPv4-site bereikt, zal dat nooit zien.
Profielen per app dekken alleen hun eigen apps
Een VPN per app is het geval dat de meeste valse alarmen oplevert. Het profiel noemt de apps waarvan het verkeer de tunnel in gaat, en al het andere gaat volgens ontwerp door op het lokale netwerk. Dat je openbare adres in een browser gelijk blijft, is dus verwacht gedrag, geen bewijs van falen. Niets in de statusbalk spreekt dat tegen.
Test de app waarvoor het profiel is gebouwd, en test die tegen een bron die alleen binnen bestaat. Een geslaagd intern verzoek van de genoemde app beschrijft een werkende configuratie. Een normaal openbaar adres in Safari beschrijft dan een profiel per app dat precies werkt zoals geconfigureerd.
On-demand-regels veranderen wat je waarneemt
On-demand-configuratie bepaalt wanneer een verbinding tot stand komt, niet of verkeer gedekt is. Een regel kan de tunnel opzetten wanneer een bepaald domein wordt aangevraagd en hem weer afbreken wanneer het verzoek klaar is, wat betekent dat de badge die tijdens gewoon gebruik verschijnt en verdwijnt het ontwerp is dat werkt. Lees de regels voordat je de badge interpreteert.
Dat gedrag verklaart ook resultaten die over een dag inconsistent lijken. Dezelfde app kan om tien uur 's ochtends door de tunnel gaan en om twaalf uur direct zijn, omdat de trigger-voorwaarde veranderde en niet het beleid.
Eén meting is geen bewijs van dekking
Eén browsercontrole bewijst dat één verzoek één pad nam, en niets meer. Ze zegt niets over een tweede app met een eigen netwerkstack, een achtergrondsynchronisatie die liep voordat de tunnel omhoog kwam, of een verbinding die een netwerkwijziging overleefde omdat de oude socket nooit opnieuw werd opgezet. Dat gat is een scope-probleem, geen lek.
| Observation | Decide this first | Then test |
|---|---|---|
| Badge on, public address unchanged | Is the profile per-app? | The named internal app, not a browser |
| Badge flickers during the day | Are on-demand rules present? | Whether the flip follows a trigger domain |
| Internal app works, another fails | Is that app in the profile? | Its own settings and any proxy config |
| Nothing works while badge is on | Is this a path failure? | Name resolution and a known-good internal host |
De vierde rij is de enige die op een storing wijst. Een verbonden tunnel met gebroken naamresolutie, een ontbrekende retourroute of een dienst die simpelweg plat ligt, zien er vanuit de app hetzelfde uit.
Wat je vastlegt voordat je escaleert
Noteer de profielnaam, of die van een beheersysteem kwam, of er regels per app zijn en het exacte tijdstip van het mislukte verzoek. Voeg de geteste adresfamilie toe en de app van waaruit je testte. Geen enkel getal op het scherm vervangt die lijst. Dat verslag scheidt een dekkingsvraag van een storing in één ronde.
Houd ook de beveiligingsbasis in het oog. Een tunnel vervangt geen certificaatvalidatie, accountbescherming of apparaatrechten. Een pictogram naast de netwerkstatus is geen bewijs dat een daarvan is geconfigureerd, en zo wordt een privacyclaim op de kracht van een badge gebouwd.
Apples overzicht van de uitrol van VPN beschrijft de profieltypen en het on-demand-gedrag achter deze verschillen. Lees het voordat je met een beheersysteem discussieert over wat een profiel zou moeten dekken.