VPN-ikonet på iPhone er på: dekkjer det alle apper eller verkar det berre?
Eitt merke, tre ulike påstandar. Skil mellom kva profilen dekkjer, kva on-demand-reglar gjer, og kva adressefamilie du faktisk testa.
Merket dukkar opp, appen oppfører seg framleis som om han var heime, og den openberre konklusjonen er at tunnelen er øydelagd. Vanlegvis er ingenting øydelagt. Merket rapporterer éi tilkopling, medan spørsmålet bak handlar om dekning, og det er ulike påstandar.
Tre vilkår avgjer kva påstand du kan kome med. Inntil dei er avklarte, er eitkvart testresultat tvitydig.
Tre svar gøymer seg bak eitt ikon
Det første spørsmålet er kva du ville at tunnelen skulle gjere. Å nå ein intern wiki, skjule adressa di for ein strøymeteneste og verne éin administrert app er tre ulike krav som tre ulike profilar oppfyller.
Det andre er kven som eig profilen. Ein personleg installert konfigurasjon oppfører seg annleis enn ein som blir skyvd ut av eit styringssystem, og berre den andre kan bera reglar per app som iOS handhevar. Merket kan ikkje skilje dei to.
Det tredje er adressefamilien du står på. Ein tunnel som ber IPv4 medan nettverket deler ut IPv6, lèt éin veg liggje utanfor tunnelen. Ein test som berre når ein IPv4-nettstad, vil aldri sjå det.
Profilar per app dekkjer berre sine eigne apper
Ein VPN per app er tilfellet som gir flest falske alarmar. Profilen namngir appane som trafikken deira går inn i tunnelen, og alt anna held fram på det lokale nettverket etter design. At den offentlege adressa di blir den same i ein nettlesar, er derfor venta åtferd, ikkje prov på svikt. Ingenting i statuslinja seier imot det.
Test appen profilen vart bygd for, og test han mot ein ressurs som berre finst innanfor. Ein vellukka intern førespurnad frå den namngitte appen skildrar eit oppsett som verkar. Ei vanleg offentleg adresse i Safari skildrar då ein profil per app som fungerer nøyaktig som konfigurert.
On-demand-reglar endrar det du observerer
On-demand-konfigurasjon avgjer når ei tilkopling blir oppretta, ikkje om trafikk er dekt. Ein regel kan heise tunnelen når eit bestemt domene blir førespurd og ta han ned når førespurnaden er ferdig, noko som tyder på at merket som viser seg og forsvinn i vanleg bruk, er designet som verkar. Les reglane før du tolkar merket.
Denne åtferda forklarer òg resultat som verkar inkonsistente gjennom dagen. Den same appen kan gå gjennom tunnelen klokka ti om morgonen og vere direkte ved middag, fordi utløysarvilkåret endra seg, ikkje policyen.
Éin sjekk er ikkje eit prov på dekning
Éin nettlesarsjekk provar at éin førespurnad tok éin veg, og ikkje meir. Han seier ingenting om ein annan app med sin eigen nettverksstakk, ein bakgrunnssynkronisering som køyrde før tunnelen kom opp, eller ei tilkopling som overlevde eit nettverksbyte fordi den gamle sockelen aldri vart gjenoppretta. Det gapet er eit omfangsproblem, ikkje ein lekkasje.
| Observation | Decide this first | Then test |
|---|---|---|
| Badge on, public address unchanged | Is the profile per-app? | The named internal app, not a browser |
| Badge flickers during the day | Are on-demand rules present? | Whether the flip follows a trigger domain |
| Internal app works, another fails | Is that app in the profile? | Its own settings and any proxy config |
| Nothing works while badge is on | Is this a path failure? | Name resolution and a known-good internal host |
Den fjerde rada er den einaste som peikar på ein feil. Ein tilkopla tunnel med broten namneoppslag, ein manglande returrute eller ein teneste som rett og slett er nede ser like ut frå appen sitt ståstad.
Kva du bør notere før du eskalerer
Skriv ned profilnamnet, om det kom frå eit styringssystem, om det finst reglar per app, og det nøyaktige tidspunktet for den mislukka førespurnaden. Legg til adressefamilien du testa og appen du testa frå. Ingen tal på skjermen erstattar den lista. Den registreringa skil eit dekningsspørsmål frå eit avbrot i éin runde.
Hald òg sikkerheitsgrunnlaget i tankane. Ein tunnel erstattar ikkje sertifikatvalidering, kontobeskytting eller einingstillatingar. Eit ikon ved nettverksstatusen er ikkje prov på at noko av det er konfigurert, og det er nettopp slik ein personvernpåstand blir bygd på styrken til eit merke.
Apple sitt oversyn over utrulling av VPN skildrar profiltypane og on-demand-åtferda bak desse skilnadene. Les det før du diskuterer med eit styringssystem om kva ein profil bør dekkje.