iPhone-VPN maakt opnieuw verbinding na uitschakelen: wie start hem?

Tik op verbreken bij de iPhone-VPN, open een browser en de tunnel staat weer voordat de pagina laadt, waardoor de schakelaar kapot lijkt. Meestal werkt het zoals ontworpen, alleen niet zoals de gebruiker bedoelde. Verbreken beëindigt één sessie; iets anders heeft nog steeds toestemming om een nieuwe te starten. Drie verschillende eigenaren kunnen dat op iOS doen, en elk laat een andere vingerafdruk achter in wanneer de herverbinding plaatsvindt.

Verbreken is niet uitschakelen

Handmatig verbreken zegt tegen de tunnel dat hij moet stoppen. Het zegt het systeem niet per se dat het moet ophouden erom te vragen. Regels voor ‘Verbinden op verzoek’, het eigen automatische-verbindingsbeleid van een providerapp en een beheerde Always On-configuratie overleven allemaal een verbreking, en elk kan de verbinding opnieuw starten zonder dat de gebruiker iets aanraakt.

Het onderscheid is belangrijk omdat de oplossing bij de eigenaar ligt. De schakelaar harder omzetten helpt nooit, en het profiel verwijderen is een veel grotere ingreep dan het probleem vraagt. Zoek eerst de trigger en beslis dan of het jouw taak is om die te wijzigen. Die volgorde weerhoudt je er ook van een werkende configuratie te verwijderen op zoek naar een regel die elders woont.

Vergelijk de drie eigenaren op hun trigger

Verbinden op verzoek reageert op voorwaarden die het besturingssysteem beoordeelt: lid worden van een netwerk, of een verzoek met een domein dat de regel dekt. Een providerapp kan een verbinding opzetten wanneer de app start of wanneer het eigen achtergrondbeleid dat beslist. Een beheerde Always On-implementatie is een vereiste op apparaatniveau die de gebruiker helemaal niet hoort te omzeilen.

Let op welke gebeurtenis aan de herverbinding voorafgaat en de eigenaar wordt vrij duidelijk. Dat is het verschil tussen een regel die je kunt bewerken en een beleid waar je alleen naar kunt vragen.

Wat de regels voor op verzoek werkelijk doen

Gedrag op verzoek is een geordende lijst. Elke vermelding komt overeen met een voorwaarde en levert een actie op: verbinden, verbreken, een verbindingspoging beoordelen of negeren. Een verbindingsregel die vóór een verbrekingsregel staat, wint telkens wanneer beide overeenkomen, en daarom kan een apparaat direct na handmatig verbreken opnieuw verbinden.

Regels kunnen ook domeingestuurd zijn en overeenkomen met een hostnaam in een verzoek in plaats van een interfacewijziging. Dat is het patroon achter ‘de VPN komt terug wanneer ik de intranetsite open’, en het wijst naar de provider of het profiel dat de regel heeft geïnstalleerd, niet naar iOS zelf.

Beheerde Always On is geen persoonlijke optie

Op een gecontroleerd, beheerd apparaat kan de organisatie eisen dat een VPN actief blijft en kan zij het vermogen van de gebruiker wegnemen om hem uit te schakelen. Geen enkele hoeveelheid schakelen in Instellingen verandert dat, en het eerlijke antwoord is dat het gedrag bij het beleid van de beheerder hoort.

Vraag welk beleid geldt en welk uitzonderingsproces bestaat, als dat er is. Het geïnstalleerde beheerprofiel verwijderen is geen ondersteunde oplossing; het kan andere configuratie verwijderen waarvan het apparaat afhankelijk is en het kan de compliance-rapportage breken.

Test door de trigger weg te nemen, niet het profiel

Laat het profiel geïnstalleerd, verbreek de verbinding en herhaal dan de gebeurtenis die de tunnel eerder opnieuw startte: word lid van dezelfde wifi, open dezelfde app, vraag dezelfde interne naam aan. Als de tunnel op dat moment terugkomt, heb je de trigger geïdentificeerd en kun je de instelling zoeken die hem bezit.

Wijzig één instelling bij de eigenaar en herhaal dan dezelfde test. Als de herverbinding stopt, heb je het antwoord; als die aanhoudt, zit de trigger elders en was het profiel nooit het probleem. Een gedownload instellingenbestand dat nog in Bestanden staat, is ook geen geïnstalleerde configuratie, dus het bestand verwijderen bewijst niets.

Het bruikbare resultaat is een zin die je kunt opschrijven: deze verbinding wordt gestart door deze regel of dit beleid, en is eigendom van deze partij. Als dat klopt, voelt de schakelaar niet langer onvoorspelbaar, en de volgende persoon die het meldt krijgt een direct antwoord in plaats van nog een herinstallatie.