iPhone-VPN etter en omstart: hva bør skje først
Gjør «hold VPN-en på» til et krav ved oppstart: hva som kobler til, hva som fortsatt trenger deg, og hva som blokkeres før den første beskyttede oppgaven kjører.
«Hold VPN-en på» tåler rundt tretti sekunder med spørsmål. På etter en omstart? På før du låser opp telefonen? På mens Wi-Fi fortsatt viser en påloggingsside? Blokkere trafikken til tunnelen er oppe, eller la den første appen prøve direkte? Det er fire ulike krav, og bare noen av dem kan en telefon konfigureres til å garantere. Skriv svaret som en tidslinje med faser, og kontroller deretter hver fase etter en faktisk omstart.
| Stage | Personal profile | Supervised Always On |
|---|---|---|
| Before first unlock | do not assume a tunnel | do not assume a tunnel either |
| After unlock, network up | depends on the provider or On Demand rule | activates without user interaction |
| Tunnel negotiating | first app may already be trying | policy decides whether traffic waits |
| Gateway unreachable | usually falls back to whatever the client allows | follows the deployed policy |
Skriv kravet som en tidslinje
Start med øyeblikket som betyr noe for virksomheten: hvilken beskyttet oppgave som ikke må skje uten tunnel, og hvor lenge etter oppstart den oppgaven realistisk sett forsøkes. Alt før det øyeblikket er en sekvens, og det er sekvensen du verifiserer. Et notat som sier «VPN-en må være på» kan ikke testes, mens «ingen trafikk til registreringsverten før tunnelen er etablert» kan.
Deretter skiller du det en personlig telefon kan gjøre, fra det en administrert flåte kan gjøre, fordi de to svarene ikke er utskiftbare.
Trinn én: tilstanden før den første opplåsingen
Ikke utled atferd før opplåsing fra en tunnel du så etter opplåsing. Den ærlige testen er å starte på nytt, la telefonen være låst og se fra den andre enden om det dannes en tunnel. I de fleste personlige oppsett vil svaret være nei, og det er ikke en feil; det betyr bare at den første beskyttede oppgaven ikke må forsøkes før telefonen er låst opp.
Hvis et krav virkelig avhenger av dekning før opplåsing, tar du det til utrullingseieren i stedet for til en klientinnstilling.
Trinn to: nettverksberedskap og captive-portaler
Administrert Always On aktiveres uten brukerinteraksjon og varer gjennom omstarter så lenge profilen er installert, og etableringen følger at grensesnittet får IP-oppnåelighet. Den siste setningen er den viktige: en telefon som ikke har fått en adresse ennå, har ingenting å bygge på. En hotellportal som ikke er akseptert, er et nettverk som ikke er klart i nettopp denne forstanden, og ingen husket VPN-innstilling fullfører det for deg.
Så akseptnotatet trenger en linje for portal-tilfellet. Enten venter telefonen, eller så trykker brukeren seg først gjennom portalen, og hvilket av de to som er akseptabelt avhenger av hvem som reiser. Skriv ned valget, for personen som starter på nytt klokken sju om morgenen finner det ikke opp. En portal som krever et romnummer, er også et annet tilfelle enn en som bare godtar en avkrysningsboks.
Trinn tre: autentisering som fortsatt trenger et menneske
Automatisk aktivering og automatisk autentisering er to ulike evner. En profil med enhetssertifikat kan fullføre det siste uten et menneske, mens en gateway som krever en engangsfaktor ikke kan, og ingen policy vil gjøre det. Fastslå hvilken av de to du ruller ut før du lover et håndfritt oppstartsforløp.
Noter deretter mellomtilstanden uttrykkelig: hvis autentiseringen avventer, blokkeres trafikken, settes den i kø eller sendes den direkte? Svaret hører hjemme i planen, fordi det er vinduet der en feilkonfigurasjon blir en lekkasje. Test det ved å gjøre gatewayen utilgjengelig og se hva telefonen gjør, i stedet for å lese klientens egen beskrivelse av seg selv.
Trinn fire: den første beskyttede oppgaven, deretter en overgang
Etter den planlagte omstarten åpner du den beskyttede oppgaven og bekrefter at den lykkes og at den faktisk brukte tunnelen. Gjenta deretter den samme oppgaven under en overgang fra Wi-Fi til mobilnett, fordi den flyttingen forhandler det underliggende nettverket på nytt, og det er der en profil som bare virket ved oppstart begynner å feile. Noter tre fakta for hver kjøring: om forbindelsen kom opp automatisk, om du måtte autentisere, og om den forventede ressursen svarte.
Hvis beskyttelse i mellomrommet er obligatorisk, bruk verifiseringsmetoden som utrullingseieren godkjenner. Én vellykket sideinnlasting kan ikke vise at ingenting gikk direkte før den.