Zostawić VPN na iPhonie zawsze włączony? Decydują dwa wymagania

Dwie osoby zostawiają ten sam profil VPN włączony przez cały dzień i czerpią z niego różną korzyść. Jedna dociera do prywatnej aplikacji służbowej bez zastanowienia; druga utrzymuje osobisty tunel głównie z przyzwyczajenia. Obie widzą ten sam wskaźnik na pasku stanu i ten wskaźnik jest jedyną rzeczą, którą oba układy mają wspólną.

Decyzja nie dotyczy tego, czy stałe pokrycie wydaje się bezpieczniejsze. Dotyczy tego, za które wymaganie płacisz, co klient robi, gdy brama jest nieosiągalna, i ile twojego ruchu widzi wybrany operator. Odpowiedz na te trzy, a przełącznik przestaje być kwestią gustu.

Dwa zadania, które dzielą jedną ikonę

Pierwsze zadanie to dostęp: określony zestaw prywatnych zasobów powinien być osiągalny po otwarciu aplikacji, z dowolnego miejsca. Drugie zadanie to pokrycie: ruch, który inaczej przeszedłby przez nieznaną sieć, powinien wyjść przez usługę, której ufasz.

Wskazują na różne konfiguracje. Dostęp chce najwęższego zakresu, który jeszcze działa, bo pełny tunel dla jednej aplikacji wewnętrznej wysyła wszystko inne przez sieć, która nigdy nie była do tego wymiarowana. Pokrycie chce najszerszego zakresu, jaki możesz znieść, bo tunel, który przenosi tylko niektóre aplikacje, zostawia resztę odsłoniętą właśnie w tej sieci, o którą się martwiłeś. Większość źle skonfigurowanych telefonów kończy jako mieszanka obu, dlatego wymaganie trzeba nazwać przed wyborem profilu.

Prywatny dostęp do pracy: zakres ważniejszy niż trwałość

Jeśli celem jest dotarcie do aplikacji wewnętrznej, użytecznym pytaniem jest to, kiedy tunel się aktywuje, a nie czy pozostaje włączony. Zarządzany układ dla poszczególnych aplikacji może wysyłać tylko ruch tej aplikacji przez bramę, co utrzymuje prywatne przeglądanie na zwykłej drodze, a ruch służbowy na zatwierdzonej. To inna forma kontroli niż pełny tunel i zmienia znaczenie wskaźnika. Przy zakresie na aplikację ikona może nie występować, podczas gdy aplikacja służbowa nadal dociera do swojej usługi.

Ten zakres jest decyzją polityczną właściciela wdrożenia, a nie osobistą preferencją, którą można wywnioskować z zachowania aplikacji. Ekrany ustawień klienta nie zawsze ujawniają który z kilku mechanizmów platformy obowiązuje, a etykiety nakładają się w sposób wprowadzający w błąd.

Dokumentacja Apple rozróżnia aktywację warunkową, wybór dla poszczególnych aplikacji i zarządzane zachowanie zawsze włączone. Przełącznik automatycznego łączenia klienta innej firmy sam w sobie nie należy do żadnej z tych kategorii, więc etykiety, która brzmi równoważnie, nie należy czytać jako obietnicy zarządzanej właściwości.

Praktycznym sprawdzianem jest żądanie skierowane do usługi, o której wiesz, że jest wewnętrzna, wykonane przy celowo wyłączonym tunelu. Jeśli się powiedzie, tunel nie jest tą kontrolą, którą myślisz, a reszta konfiguracji zasługuje na drugie spojrzenie, zanim na niej polegniesz.

Pokryte przeglądanie: polityka awarii jest produktem

Jeśli celem jest pokrycie w nieznanych sieciach, ciekawą częścią produktu nie jest połączenie, lecz rozłączenie. Dwaj klienci, którzy obaj łączą się automatycznie, mogą zachowywać się zupełnie różnie w chwili, gdy brama odmawia albo sieć ją blokuje.

Polityka blokowania czyni pokryty ruch niedostępnym, dopóki tunelu nie można ustanowić. To najsilniejsza wersja pokrycia i najbardziej zakłócająca: awaria staje się twoją awarią, a portal niewoli staje się ścianą, której nie przejdziesz, aby dotrzeć do strony, która by cię przepuściła.

Polityka wycofania utrzymuje cię online, pozwalając ruchowi pójść zwykłą drogą. To bardziej użyteczne i z definicji słabsze, bo dokładnie w chwili, gdy tunel zawodzi, ruch wychodzi bez szyfrowania przez tę sieć, w której jesteś. Ruch i tak wychodzi, i wychodzi w sieci, której nie ufałeś. To jest ta wymiana, powiedziana bez marketingu.

Żadne z nich nie jest błędne, a błąd to odkrycie w podróży, które kupiłeś. Sprawdź to w domu: wyłącz zdolność tunelu do łączenia się, a potem zobacz, czy strony się ładują. Ten jeden eksperyment mówi ci więcej niż jakikolwiek opis na stronie marketingowej dostawcy.

Czego tunel nie naprawia

Kierowanie ruchu przez jednego operatora daje temu operatorowi pozycję na twojej drodze połączenia. To nie czyni odwiedzanych witryn godnymi zaufania i nie zastępuje HTTPS, bezpieczeństwa konta ani troski o to, jakie profile instalujesz. Tunel kończący się w sieci dostawcy to zmiana tego, kto co może obserwować, a nie usunięcie pytania.

To samo dotyczy sieci lokalnej. VPN może trzymać twój ruch z dala od sieci dostępowej hotelu i nie może przeszkodzić tej sieci w zablokowaniu samego tunelu albo w ingerencji w rozwiązywanie nazw, zanim tunel powstanie.

Wydajność i bateria należą do tej samej kategorii uczciwej obserwacji. Do wskaźnika nie jest przywiązana żadna stała kara; trasa obrana przez bramę, jakość sieci dostępowej, ilość ruchu i częstotliwość ponownych połączeń wszystkie poruszają liczbę. Porównanie dwóch konfiguracji przy tym samym użyciu to jedyny pomiar, który coś znaczy.

Wybierz dla urządzenia, które naprawdę masz

Na telefonie osobistym wybierz zachowanie pasujące do twojego wymagania i zapisz przyjętą politykę awarii. Jeśli wybrałeś pokrycie z blokowaniem, zachowaj sposób dotarcia do strony statusu dostawcy z innego urządzenia; jeśli wybrałeś wycofanie, wiedz, że awaria tunelu jest cicha z założenia.

Na zarządzanym telefonie służbowym odpowiedzią jest polityka administratora, a brak kontroli pauzy jest zwykle zamierzony, a nie przeoczeniem, które trzeba obejść. Poproszenie o wyjątek zwykłym kanałem jest szybsze niż znalezienie obejścia, które usunie następna aktualizacja profilu.

Tak czy inaczej, przejrzyj decyzję, gdy zmieni się cel. Tunel skonfigurowany dla jednej aplikacji wewnętrznej słabo pasuje do pokrycia przeglądania na pełny etat, a profil pełnego tunelu trzymany dla jednej aplikacji po cichu przenosi dużo ruchu, którego nigdy nie zamierzałeś przekazać.