De VPN-vergrendeling van je iPhone is een beleid, niet het protocol

Het VPN-pictogram toont verbonden, de tunnel valt even weg bij een netwerkwissel, en verkeer dat geblokkeerd had moeten zijn, gaat over mobiel naar buiten. Niets in de interface kondigde een gat aan. De functie waarop je vertrouwde is een beleid van de client en het platform, en een protocolnaam in de instellingen beschrijft niet wat er in die seconde gebeurt.

Beschrijf de vergrendeling als een contract over toestanden, niet als een eigenschap van IKEv2 of On Demand.

Het symptoom: het pictogram zegt verbonden

Een pictogram weerspiegelt de kijk van de client op zijn eigen toestand, en die kijk kan achterlopen op de werkelijkheid met de duur van een herverbinding. Een gecachte pagina, een snelle herverbinding of een statusverversing verbergen allemaal het interval. De vraag die de moeite waard is, is niet of het pictogram groen was, maar wat het toestel toestond terwijl de tunnel afwezig was. Dezelfde vertraging verklaart waarom een schermafbeelding van de app zo’n zwak bewijs is: die legt een toestand vast, geen overgang.

Die vraag heeft alleen een antwoord als het beleid die definieert.

Wat het protocol werkelijk onderhoudt

IKEv2 onderhoudt en vernieuwt een geauthenticeerde IPsec-relatie, en mobiliteitsfuncties helpen die te herstellen na een adreswijziging. Dat is een uitspraak over de levenscyclus van de tunnel. Ze zegt niets over de toestemming van de iPhone om in het gat ander verkeer te sturen, want die toestemming hoort bij het platform en de client, niet bij de sleuteluitwisseling. Een toestel dat binnen een seconde opnieuw verbindt, had nog steeds een venster, en in dat venster leeft het interessante gedrag.

On Demand is eveneens een beschrijving van activeringsgedrag, geen universele blokkadegarantie.

Wat het platform een ontwikkelaar biedt

Network Extension van Apple biedt besturing van de verkeersomvang, en de routeringsgids maakt onderscheid tussen gedrag waarbij alle netwerken worden inbegrepen en gewone inbegrepen routes, en somt de systeemuitzonderingen op. Er bestaat ook een beheerd Always On-implementatiemodel, los van de instelling voor automatische verbinding van een persoonlijke app. Of een bepaalde app daar iets van gebruikt, is een eigenschap van de app, niet van het protocol dat ze spreekt.

De naam van een schakelaar is geen bewijs van welke API de app aanroept.

Lees de functie als een contract

Vraag de aanbieder vijf toestanden te benoemen: eerste activering, onverwacht tunnelverlies, opzettelijke ontkoppeling, afsluiten van de app en herstarten van het toestel. Zet de systeemuitzonderingen en elke opzettelijke LAN-toegang naast die lijst. Vraag dan of de functie optioneel is, door beheer afgedwongen of afhankelijk van een clientmodus, want een pauze die de gebruiker kiest en een vergrendeling die een organisatie afdwingt, zijn twee verschillende producten. Schrijf die vijf antwoorden in het implementatiedossier, want de volgende beoordelaar stelt precies die vragen.

Een functie die blokkeert bij onverwacht verlies maar niet bij een opzettelijke ontkoppeling, is een samenhangend ontwerp. Het is alleen niet het ontwerp dat de marketingpagina beschreef.

Hoe je de gaten test

Test één overgang tegelijk met onschadelijk verkeer, in de app en de adresfamilie die je aangaat. Bevestig wat tijdens het gat werd toegestaan, niet wat het pictogram daarna toonde. Noteer de clientversie en het beleid naast het resultaat, want beide veranderen en geen van beide is zichtbaar vanaf het instellingenscherm van de telefoon. Dat is de enige manier om een echt gat van een traag pictogram te scheiden.

Als het antwoord voor naleving telt, vraag het dan schriftelijk in plaats van het uit een productnaam af te leiden.