Blokada VPN na iPhonie to polityka, nie protokół

Ikona VPN pokazuje połączenie, tunel na chwilę się urywa przy zmianie sieci, a ruch, który powinien zostać zablokowany, wychodzi przez sieć komórkową. Nic w interfejsie nie zapowiedziało luki. Funkcja, na której polegałeś, jest polityką klienta i platformy, a nazwa protokołu w ustawieniach nie opisuje, co dzieje się w tej sekundzie.

Opisuj blokadę jako umowę o stanach, nie jako właściwość IKEv2 ani On Demand.

Objaw: ikona mówi połączono

Ikona odzwierciedla pogląd klienta na jego własny stan, a ten pogląd może odstawać od rzeczywistości o czas ponownego połączenia. Strona z pamięci podręcznej, szybkie ponowne połączenie albo odświeżenie stanu zasłaniają ten przedział. Pytanie, które warto zadać, nie brzmi, czy ikona była zielona, lecz czego urządzenie pozwoliło, gdy tunelu nie było. To samo opóźnienie wyjaśnia, dlaczego zrzut ekranu aplikacji jest tak słabym dowodem: zapisuje stan, a nie przejście.

To pytanie ma odpowiedź tylko wtedy, gdy polityka ją definiuje.

Co protokół naprawdę utrzymuje

IKEv2 utrzymuje i odnawia uwierzytelnioną relację IPsec, a funkcje mobilności pomagają ją odtworzyć po zmianie adresu. To stwierdzenie o cyklu życia tunelu. Nie mówi nic o pozwoleniu iPhone’a na wysyłanie innego ruchu w luce, bo to pozwolenie należy do platformy i klienta, nie do wymiany kluczy. Urządzenie, które połączy się ponownie w mniej niż sekundę, wciąż miało okno, i to w tym oknie żyje ciekawe zachowanie.

On Demand również opisuje zachowanie przy aktywacji, a nie daje uniwersalnej gwarancji blokowania.

Co platforma oferuje deweloperowi

Network Extension firmy Apple udostępnia kontrolę zasięgu ruchu, a jego przewodnik po routingu odróżnia zachowanie z włączeniem wszystkich sieci od zwykłych tras włączonych i wymienia wyjątki systemowe. Istnieje też nadzorowany model wdrożenia Always On, oddzielony od ustawienia automatycznego połączenia osobistej aplikacji. Czy dana aplikacja korzysta z czegokolwiek z tego, jest właściwością aplikacji, a nie protokołu, którym mówi.

Nazwa przełącznika nie jest dowodem, które API wywołuje aplikacja.

Czytaj funkcję jako umowę

Poproś dostawcę o wskazanie pięciu stanów: aktywacja początkowa, nieoczekiwana utrata tunelu, celowe rozłączenie, wyjście z aplikacji i ponowne uruchomienie urządzenia. Obok tej listy umieść wyjątki systemowe i każdy zamierzony dostęp do LAN. Potem zapytaj, czy funkcja jest opcjonalna, wymuszona przez zarządzanie czy uwarunkowana trybem klienta, bo pauza wybrana przez użytkownika i blokada wymuszona przez organizację to dwa różne produkty. Zapisz te pięć odpowiedzi w rejestrze wdrożenia, bo następny recenzent zada dokładnie te pytania.

Funkcja, która blokuje przy nieoczekiwanej utracie, ale nie przy celowym rozłączeniu, jest spójnym projektem. Po prostu nie tym, który opisywała strona marketingowa.

Jak testować luki

Testuj jedno przejście naraz z nieszkodliwym ruchem, w aplikacji i rodzinie adresów, na których ci zależy. Potwierdź, co było dozwolone w luce, a nie co ikona pokazała potem. Zapisz wersję klienta i politykę obok wyniku, bo oba się zmieniają i żadnego nie widać z ekranu ustawień telefonu. To jedyny sposób, by odróżnić rzeczywistą lukę od powolnej ikony.

Jeśli odpowiedź ma znaczenie dla zgodności, poproś o nią na piśmie, zamiast wnioskować z nazwy produktu.