VPN na iPhonie po restarcie: co powinno stać się najpierw
Zamień „zostaw VPN włączony” w wymóg przy starcie: co się łączy, co nadal wymaga człowieka i co jest blokowane, zanim uruchomi się pierwsze chronione zadanie.
„Zostaw VPN włączony” wytrzymuje około trzydziestu sekund wypytywania. Włączony po restarcie? Włączony przed odblokowaniem telefonu? Włączony, gdy Wi-Fi wciąż pokazuje stronę logowania? Blokować ruch, dopóki tunel nie wstanie, czy pozwolić pierwszej aplikacji spróbować bezpośrednio? To cztery różne wymagania i tylko niektóre z nich można zagwarantować, konfigurując telefon. Zapisz odpowiedź jako os czasu z etapami, a potem sprawdź każdy etap po prawdziwym restarcie.
| Stage | Personal profile | Supervised Always On |
|---|---|---|
| Before first unlock | do not assume a tunnel | do not assume a tunnel either |
| After unlock, network up | depends on the provider or On Demand rule | activates without user interaction |
| Tunnel negotiating | first app may already be trying | policy decides whether traffic waits |
| Gateway unreachable | usually falls back to whatever the client allows | follows the deployed policy |
Zapisz wymaganie jako os czasu
Zacznij od momentu, który liczy się dla firmy: które chronione zadanie nie może się wydarzyć bez tunelu i po jakim czasie od startu naprawdę się go próbuje. Wszystko przed tym momentem to sekwencja i właśnie sekwencję weryfikujesz. Notatka „VPN musi być włączony” nie da się przetestować, a „żadnego ruchu do hosta rejestrów przed ustanowieniem tunelu” da się.
Potem oddziel to, co potrafi telefon prywatny, od tego, co potrafi zarządzany park urządzeń, bo te dwie odpowiedzi nie są wymienne.
Pierwszy krok: stan przed pierwszym odblokowaniem
Nie wnioskuj o zachowaniu przed odblokowaniem z tunelu, który widziałeś po odblokowaniu. Uczciwy test to zrestartować, zostawić telefon zablokowany i z drugiej strony obserwować, czy w ogóle powstaje tunel. W większości prywatnych konfiguracji odpowiedź będzie brzmiała „nie” i to nie jest usterka; oznacza tylko, że pierwszego chronionego zadania nie wolno próbować przed odblokowaniem telefonu.
Jeśli wymaganie naprawdę zależy od zasięgu przed odblokowaniem, zanieś je właścicielowi wdrożenia, a nie ustawieniu w kliencie.
Drugi krok: gotowość sieci i portale logowania
Zarządzany Always On aktywuje się bez interakcji użytkownika i utrzymuje się przez restarty, dopóki jego profil jest zainstalowany, a zestawienie następuje po uzyskaniu przez interfejs osiągalności IP. Ważne jest właśnie ostatnie zdanie: telefon, który nie dostał jeszcze adresu, nie ma na czym budować. Portal hotelowy, który nie został zaakceptowany, to sieć, która nie jest gotowa dokładnie w tym sensie, i żadne zapamiętane ustawienie VPN tego za ciebie nie dokończy.
Dlatego notatka odbiorcza potrzebuje wiersza dla przypadku portalu. Albo telefon czeka, albo użytkownik najpierw przechodzi przez portal, a to, co jest dopuszczalne, zależy od tego, kto podróżuje. Zapisz wybór, bo osoba restartująca o siódmej rano go nie wymyśli. Portal wymagający numeru pokoju to także inny przypadek niż taki, który przyjmuje tylko pole wyboru.
Trzeci krok: uwierzytelnianie, które nadal wymaga człowieka
Automatyczna aktywacja i automatyczne uwierzytelnianie to odrębne możliwości. Profil z certyfikatem urządzenia może wykonać to drugie bez człowieka, natomiast brama wymagająca jednorazowego czynnika nie może, i żadna polityka tego nie zmieni. Ustal, które z dwóch wdrażasz, zanim obiecasz start bez udziału rąk.
Następnie zapisz wyraźnie stan pośredni: jeśli uwierzytelnianie trwa, czy ruch jest blokowany, kolejkowany, czy wysyłany bezpośrednio? Odpowiedź należy do planu, bo to jest okno, w którym błędna konfiguracja staje się wyciekiem. Przetestuj to, czyniąc bramę nieosiągalną i obserwując, co robi telefon, a nie czytając opis, jaki klient daje sam sobie.
Czwarty krok: pierwsze chronione zadanie, potem przejście
Po zaplanowanym restarcie otwórz chronione zadanie i potwierdź, że się udaje i że naprawdę użyło tunelu. Następnie powtórz to samo zadanie podczas przejścia z Wi-Fi na sieć komórkową, bo ten ruch na nowo negocjuje sieć bazową i właśnie tam profil działający tylko przy starcie zaczyna zawodzić. Zapisz trzy fakty dla każdego uruchomienia: czy połączenie wstało automatycznie, czy musiałeś się uwierzytelnić i czy oczekiwany zasób odpowiedział.
Jeśli ochrona w trakcie luki jest obowiązkowa, użyj metody weryfikacji zatwierdzonej przez właściciela wdrożenia. Jedno udane wczytanie strony nie może pokazać, że wcześniej nic nie poszło bezpośrednio.