Ikona VPN na iPhonie włączona: czy obejmuje każdą aplikację, czy tylko działa?
Jedna plakietka, trzy różne twierdzenia. Oddziel, co obejmuje profil, co robią reguły na żądanie i którą rodzinę adresów faktycznie przetestowano.
Plakietka się pojawia, aplikacja nadal zachowuje się tak, jakby była w domu, a oczywisty wniosek jest taki, że tunel jest zepsuty. Zwykle nic nie jest zepsute. Plakietka zgłasza jedno połączenie, podczas gdy pytanie za nią dotyczy pokrycia, a to różne twierdzenia.
Trzy warunki decydują, jakie twierdzenie możesz postawić. Dopóki nie zostaną wyjaśnione, każdy wynik testu jest niejednoznaczny.
Za jedną ikoną kryją się trzy odpowiedzi
Pierwsze pytanie brzmi, co miał robić tunel. Dostęp do wewnętrznej wiki, ukrycie adresu przed usługą streamingową i ochrona jednej zarządzanej aplikacji to trzy różne wymagania, które spełniają trzy różne profile.
Drugie to, do kogo należy profil. Konfiguracja zainstalowana osobiście zachowuje się inaczej niż ta wysyłana przez system zarządzania, i tylko druga może nieść reguły dla poszczególnych aplikacji, których egzekwuje iOS. Plakietka nie odróżnia tych dwóch.
Trzecie to rodzina adresów, na której stoisz. Tunel przenoszący IPv4, podczas gdy sieć przydziela IPv6, zostawia jedną ścieżkę poza tunelem. Test, który dociera tylko do witryny IPv4, nigdy tego nie zobaczy.
Profile dla poszczególnych aplikacji obejmują tylko ich aplikacje
VPN dla poszczególnych aplikacji to przypadek, który generuje najwięcej fałszywych alarmów. Profil nazywa aplikacje, których ruch wchodzi do tunelu, a wszystko inne nadal działa w sieci lokalnej zgodnie z projektem. To, że twój publiczny adres w przeglądarce się nie zmienia, jest więc oczekiwanym zachowaniem, a nie dowodem awarii. Nic w pasku stanu temu nie przeczy.
Przetestuj aplikację, dla której zbudowano profil, i przetestuj ją wobec zasobu, który istnieje tylko wewnątrz. Udane żądanie wewnętrzne z nazwanej aplikacji opisuje działającą konfigurację. Zwykły publiczny adres w Safari opisuje wtedy profil dla poszczególnych aplikacji działający dokładnie tak, jak skonfigurowano.
Reguły na żądanie zmieniają to, co obserwujesz
Konfiguracja na żądanie decyduje, kiedy zostanie nawiązane połączenie, a nie czy ruch jest objęty. Reguła może podnieść tunel, gdy zażądano określonej domeny, i go opuścić, gdy żądanie się zakończy, co oznacza, że pojawianie się i znikanie plakietki podczas zwykłego użytkowania to działający projekt. Przeczytaj reguły, zanim zinterpretujesz plakietkę.
Takie zachowanie wyjaśnia też wyniki, które w ciągu dnia wydają się niespójne. Ta sama aplikacja może iść przez tunel o dziesiątej rano i być bezpośrednia w południe, ponieważ zmienił się warunek wyzwalający, a nie polityka.
Jedna próbka nie jest dowodem pokrycia
Jedno sprawdzenie w przeglądarce dowodzi, że jedno żądanie poszło jedną ścieżką, i nic więcej. Nie mówi nic o drugiej aplikacji z własnym stosem sieciowym, o synchronizacji w tle, która działała przed podniesieniem tunelu, ani o połączeniu, które przetrwało zmianę sieci, bo stare gniazdo nigdy nie zostało odtworzone. Ta luka to problem zakresu, a nie wyciek.
| Observation | Decide this first | Then test |
|---|---|---|
| Badge on, public address unchanged | Is the profile per-app? | The named internal app, not a browser |
| Badge flickers during the day | Are on-demand rules present? | Whether the flip follows a trigger domain |
| Internal app works, another fails | Is that app in the profile? | Its own settings and any proxy config |
| Nothing works while badge is on | Is this a path failure? | Name resolution and a known-good internal host |
Czwarty wiersz jako jedyny wskazuje usterkę. Podłączony tunel z zepsutym rozwiązywaniem nazw, brakującą trasą powrotną albo po prostu niedziałającą usługą wyglądają z punktu widzenia aplikacji tak samo.
Co zapisać przed eskalacją
Zapisz nazwę profilu, czy pochodzi z systemu zarządzania, czy są reguły dla poszczególnych aplikacji i dokładny czas nieudanego żądania. Dodaj przetestowaną rodzinę adresów i aplikację, z której testowano. Żadna liczba na ekranie nie zastępuje tej listy. Ten zapis oddziela pytanie o pokrycie od awarii w jednym kroku.
Miej też na uwadze podstawy bezpieczeństwa. Tunel nie zastępuje walidacji certyfikatów, ochrony konta ani uprawnień urządzenia. Ikona obok stanu sieci nie jest dowodem, że którakolwiek z tych rzeczy jest skonfigurowana, i właśnie w ten sposób twierdzenie o prywatności opiera się na sile plakietki.
Przegląd wdrażania VPN firmy Apple opisuje typy profili i zachowanie na żądanie stojące za tymi różnicami. Przeczytaj go, zanim zaczniesz spierać się z systemem zarządzania o to, co powinien obejmować profil.