Påvirker en VPN Wi-Fi-anrop på iPhone? Sjekk operatørsiden

Koble til et hotellnettverk, foreta ett anrop fra Phone-appen, og åpne deretter en nettleser og se at den rapporterer VPN-ens utgangsadresse i stedet for hotellets: tre observasjoner som ser motstridende ut og vanligvis ikke er det. Operatørens Wi-Fi-anrop provisjoneres på linjen din av mobiloperatøren din, mens en VPN bare er et rutinglag for dataene enheten din sender. Å lese en offentlig IP-side som bevis om en telefonsamtale er den raskeste måten å bruke en ettermiddag på feil innstilling. Ingen av tjenestene kan vurderes ut fra den andres symptom, og rekkefølgen du sjekker dem i endrer svaret.

Myten om at én tunnel bærer hver samtale

Når VPN-en kobles til, sier intuisjonen at alt telefonen sender nå går ut gjennom leverandørens server, stemme inkludert. Data følger riktignok rutene tunnelen installerer, men en operatørstemmetjeneste er som standard ikke en av disse rutene: operatørens kjernenett leverer den, og tunnelen erstatter aldri det kjernenettet. Wi-Fi-anropsmodusen i Phone-appen er et tilbud knyttet til abonnementslinjen din. En forbruker-VPN-profil kan ikke provisjonere den og kan heller ikke trekke den tilbake.

Anrop som gjøres inne i en meldings- eller forretningsapp er et annet produkt. En slik app har sin egen konto, sine egne servere og sin egen medievei, så disse anropene går vanligvis inne i tunnelen og kan bryte sammen når tunnelen gjør det. Å sortere et mislykket anrop som linjenivå-tjeneste eller appnivå-konto før du rører noen innstilling fjerner det meste av gjettingen.

Er Wi-Fi-anrop faktisk provisjonert på denne linjen?

Før noe VPN-spørsmål, bekreft at operatøren og telefonen din støtter funksjonen og at den er slått på for den bestemte linjen du tester. Apples veiledning for å sette opp Wi-Fi-anrop går gjennom operatørspesifikk aktiveringsvei og statusen telefonen viser når linjen er aktiv. Når den statusen mangler, eller operatøren din aldri dukker opp i listen, er det ikke VPN-en som skal undersøkes.

Følg opp med ett vanlig anrop til et nummer du kontrollerer, og se på statusindikatoren mens anropet kobles til. En telefon som viser Wi-Fi som tilkoblet, har bare bevist at datalinken er oppe; den har ikke bevist hvilket nettverk som fraktet lyden. Legg aldri inn et nødnummer for å se hvordan lyden rutes, og behandle aldri et taleanrop i en meldingsapp som bevis om operatørfunksjonen. Dette er separate tjenester med separate feilmoduser, og den ene sier ingenting om den andre.

Hvis symptomet bare oppstår mens VPN-en er på, hold linjen, Wi-Fi-nettverket og anropsmålet konstant og endre én variabel per kjøring. På en administrert telefon er en sammenligningskjøring uten profilen bare legitim når administratoren har godkjent det på forhånd.

Hvor IncludeAllNetworks og ExcludeCellularServices passer inn

IKEv2-nyttelasten i en enhetsadministrasjonsprofil bærer to nøkler som avgjør denne delingen. IncludeAllNetworks er bryteren som skyver all enhetstrafikk inn i tunnelen i stedet for bare det VPN-appen tilfeldigvis fanger opp. Når den er satt, ExcludeCellularServices kan skjære internett-rutbar tjenestetrafikk tilbake ut av tunnelen, og Wi-Fi-anrop er en av tjenestene som det unntaket navngir. Trafikk som en operatør ruter rett inn i sitt eget kjernenett og aldri går over det offentlige internettet, blir utenfor tunnelen uansett hva de to nøklene sier.

Nøkler beskriver hva en profil kan uttrykke, ikke hva leverandøren din faktisk leverte. En profil som utelater ExcludeCellularServices kan holde funksjonen inne i tunnelen, og en leverandør som ikke viser noen redigerbar bryter, kan la deg stå helt uten brukervendt kontroll. Dokumentet som avgjør det, er nyttelasten du installerte, og administratoren din kan lese den opp for deg ordrett.

Hvorfor en offentlig IP-side ikke kan spore et anrop

En side som rapporterer VPN-ens utgangsadresse, har målt én HTTP-forespørsel fra én app på ett tidspunkt. Den sier ingenting om grensesnittet et taleanrop brukte, og et anrop som kobles til, sier ingenting om hvorvidt tunnelen er sunn for annen trafikk. Å bruke den ene som erstatning for den andre gir konklusjoner som høres selvsikre ut og er feil.

Hold personvernsiden like konkret: operatøren har fortsatt abonnementsregisteret ditt og leverer fortsatt linjetjenesten, så en annen nettutgang løser deg ikke fra den kontoen. En VPN skriver om ruter for trafikken den fanger; den flytter ikke en mobillinje til en annen operatør.

En diagnoseordre som holder policyen din intakt

Start med linjen: funksjonen slått på, operatøren i listen, indikatoren til stede, ett vanlig anrop foretatt. Undersøk deretter profilen, og spør om IncludeAllNetworks er på og hva ExcludeCellularServices er satt til. Først når begge kommer tilbake rene, fortjener selve tunnelen oppmerksomheten din.

Skriv ned resultatet du egentlig var ute etter: en tillatt telefonfunksjon som virker, med et kjent omfang for tunnelen. Det svaret overlever en operatøroppdatering, et nytt nettverk eller en revidert profil, mens en gjetning om pakker ikke overlever noe. Hvis du administrerer profilen, les talejenesteunntakene ved siden av reglene for trafikkblokkering i samme nyttelast, fordi de to påvirker hverandre. Hvis du er brukeren, er operatørens støttekanal og den dokumenterte oppførselen til VPN-leverandøren din de to kildene det er verdt å sitere i en sak.