VPN-ikonet på iPhone er på: dekker det alle apper eller virker det bare?
Ett merke, tre forskjellige påstander. Skill mellom hva profilen dekker, hva on-demand-regler gjør, og hvilken adressefamilie du faktisk testet.
Merket vises, appen oppfører seg fortsatt som om den var hjemme, og den åpenbare konklusjonen er at tunnelen er ødelagt. Vanligvis er ingenting ødelagt. Merket rapporterer én tilkobling, mens spørsmålet bak handler om dekning, og det er forskjellige påstander.
Tre forhold avgjør hvilken påstand du kan komme med. Inntil de er avklart, er ethvert testresultat tvetydig.
Tre svar skjuler seg bak ett ikon
Det første spørsmålet er hva du ville at tunnelen skulle gjøre. Å nå en intern wiki, skjule adressen din for en strømmetjeneste og beskytte én administrert app er tre forskjellige krav som tre forskjellige profiler oppfyller.
Det andre er hvem som eier profilen. En personlig installert konfigurasjon oppfører seg annerledes enn en som skyves ut av et styringssystem, og bare den andre kan bære regler per app som iOS håndhever. Merket kan ikke skille de to.
Det tredje er adressefamilien du står på. En tunnel som bærer IPv4 mens nettverket deler ut IPv6, lar én vei ligge utenfor tunnelen. En test som bare når et IPv4-nettsted, vil aldri se det.
Profiler per app dekker bare sine egne apper
En VPN per app er tilfellet som gir flest falske alarmer. Profilen navngir appene hvis trafikk går inn i tunnelen, og alt annet fortsetter på det lokale nettverket etter design. At den offentlige adressen din blir den samme i en nettleser, er derfor forventet atferd, ikke bevis på svikt. Ingenting i statuslinjen motsier det.
Test appen profilen ble bygget for, og test den mot en ressurs som bare finnes innenfor. En vellykket intern forespørsel fra den navngitte appen beskriver en oppsett som virker. En normal offentlig adresse i Safari beskriver da en profil per app som fungerer nøyaktig som konfigurert.
On-demand-regler endrer det du observerer
On-demand-konfigurasjon avgjør når en tilkobling opprettes, ikke om trafikk er dekket. En regel kan heise tunnelen når et bestemt domene forespørres og ta den ned når forespørselen er ferdig, noe som betyr at merket som vises og forsvinner i vanlig bruk, er designet som virker. Les reglene før du tolker merket.
Denne atferden forklarer også resultater som virker inkonsistente gjennom dagen. Den samme appen kan gå gjennom tunnelen klokken ti om morgenen og være direkte ved middag, fordi utløserbetingelsen endret seg, ikke policyen.
Én sjekk er ikke et bevis på dekning
Én nettlesersjekk beviser at én forespørsel tok én vei, og ikke mer. Den sier ingenting om en annen app med sin egen nettverksstakk, en bakgrunnssynkronisering som kjørte før tunnelen kom opp, eller en tilkobling som overlevde et nettverksbytte fordi den gamle sockelen aldri ble gjenopprettet. Det gapet er et omfangsproblem, ikke en lekkasje.
| Observation | Decide this first | Then test |
|---|---|---|
| Badge on, public address unchanged | Is the profile per-app? | The named internal app, not a browser |
| Badge flickers during the day | Are on-demand rules present? | Whether the flip follows a trigger domain |
| Internal app works, another fails | Is that app in the profile? | Its own settings and any proxy config |
| Nothing works while badge is on | Is this a path failure? | Name resolution and a known-good internal host |
Den fjerde raden er den eneste som peker på en feil. En tilkoblet tunnel med brutt navneoppslag, en manglende returrute eller en tjeneste som rett og slett er nede ser like ut fra appens ståsted.
Hva du bør notere før du eskalerer
Skriv ned profilnavnet, om det kom fra et styringssystem, om det finnes regler per app, og det nøyaktige tidspunktet for den mislykkede forespørselen. Legg til adressefamilien du testet og appen du testet fra. Ingen tall på skjermen erstatter den listen. Den registreringen skiller et dekningsspørsmål fra et avbrudd i én runde.
Hold også sikkerhetsgrunnlaget i tankene. En tunnel erstatter ikke sertifikatvalidering, kontobeskyttelse eller enhetstillatelser. Et ikon ved nettverksstatusen er ikke bevis på at noe av det er konfigurert, og det er nettopp slik en personvernpåstand bygges på styrken til et merke.
Apples oversikt over utrulling av VPN beskriver profiltypene og on-demand-atferden bak disse forskjellene. Les den før du diskuterer med et styringssystem om hva en profil bør dekke.