Manter a VPN do iPhone sempre ativa? Dois requisitos decidem

Duas pessoas deixam o mesmo perfil de VPN ativado o dia todo e obtêm valor diferente dele. Uma chega a um aplicativo de trabalho privado sem pensar nisso; a outra mantém um túnel pessoal em funcionamento sobretudo por hábito. Ambas veem o mesmo indicador na barra de status, e esse indicador é a única coisa que os dois arranjos compartilham.

A decisão não é se a cobertura persistente parece mais segura. É qual requisito você está pagando, o que o cliente faz quando o gateway está inacessível e quanto do seu tráfego o operador escolhido consegue ver. Responda a essas três e o botão deixa de ser questão de gosto.

Duas tarefas que compartilham um ícone

A primeira tarefa é o acesso: um conjunto específico de recursos privados deve estar acessível quando você abre o aplicativo, de onde estiver. A segunda tarefa é a cobertura: o tráfego que de outra forma atravessaria uma rede desconhecida deve sair por um serviço em que você confia.

Elas apontam para configurações diferentes. O acesso quer o escopo mais estreito que ainda funciona, porque um túnel completo para um aplicativo interno envia todo o resto por uma rede que nunca foi dimensionada para isso. A cobertura quer o escopo mais amplo que você consegue tolerar, porque um túnel que carrega apenas alguns aplicativos deixa o restante exposto exatamente na rede que o preocupava. A maioria dos celulares mal configurados termina como uma mistura dos dois, por isso o requisito precisa ser nomeado antes de escolher o perfil.

Acesso privado ao trabalho: escopo vence permanência

Se o objetivo é chegar a um aplicativo interno, a pergunta útil é quando o túnel é ativado, não se ele permanece ativo. Um arranjo gerenciado por aplicativo pode enviar apenas o tráfego desse aplicativo pelo gateway, o que mantém a navegação pessoal no caminho comum e o tráfego de trabalho no aprovado. É uma forma de controle diferente de um túnel completo, e muda o que o indicador significa. Com escopo por aplicativo, o ícone pode faltar enquanto o aplicativo de trabalho ainda alcança o seu serviço.

Esse escopo é uma decisão de política de quem é dono da implantação, não uma preferência pessoal que você possa inferir do comportamento do aplicativo. As telas de ajustes do cliente nem sempre revelam qual dos vários mecanismos da plataforma está em vigor, e os rótulos se sobrepõem de maneiras que enganam.

A documentação da Apple distingue ativação condicional, seleção por aplicativo e comportamento gerenciado sempre ativo. O interruptor de conexão automática de um cliente de terceiros não pertence, por si só, a nenhuma dessas categorias, então um rótulo que soa equivalente não deve ser lido como promessa da propriedade gerenciada.

A verificação prática é uma requisição a um serviço que você sabe ser interno, feita com o túnel deliberadamente desligado. Se ela funcionar, o túnel não é o controle que você pensa, e o resto da configuração merece uma segunda olhada antes de você contar com ele.

Navegação coberta: a política de falha é o produto

Se o objetivo é a cobertura em redes desconhecidas, a parte interessante do produto não é a conexão, mas a desconexão. Dois clientes que se conectam automaticamente podem se comportar de forma completamente diferente no momento em que o gateway recusa ou a rede o bloqueia.

Uma política de bloqueio torna o tráfego coberto indisponível enquanto o túnel não pode ser estabelecido. É a versão mais forte da cobertura e a mais perturbadora: uma falha se torna a sua falha, e um portal cativo se torna um muro que você não consegue transpor para chegar à página que o deixaria passar.

Uma política de recuo mantém você online ao deixar o tráfego seguir o caminho comum. É mais utilizável e mais fraca por definição, porque o momento exato em que o túnel falha é o momento em que o tráfego sai sem criptografia pela rede em que você estiver. O tráfego sai de qualquer forma, e sai na rede em que você não confiava. É essa a troca, dita sem o marketing.

Nenhuma das duas está errada, e o erro é descobrir durante uma viagem qual você comprou. Teste em casa: desative a capacidade do túnel de se conectar e observe se as páginas carregam. Esse único experimento diz mais do que qualquer descrição na página de marketing de um provedor.

O que o túnel não conserta

Encaminhar o tráfego por um único operador dá a esse operador uma posição no seu caminho de conexão. Isso não torna os sites que você visita confiáveis, nem substitui HTTPS, segurança da conta ou o cuidado com quais perfis você instala. Um túnel que termina na rede de um provedor é uma mudança de quem pode observar o quê, não a remoção da pergunta.

O mesmo vale para a rede local. Uma VPN pode manter seu tráfego longe da rede de acesso de um hotel, e não pode impedir essa rede de bloquear o próprio túnel ou de interferir na resolução de nomes antes que o túnel exista.

Desempenho e bateria pertencem à mesma categoria de observação honesta. Não há uma penalidade fixa ligada ao indicador; a rota que o gateway escolhe, a qualidade da rede de acesso, a quantidade de tráfego e a frequência de reconexões movem o número. Comparar duas configurações com o mesmo uso é a única medição que significa algo.

Escolha para o aparelho que você realmente tem

Num celular pessoal, escolha o comportamento que corresponde ao seu requisito e anote a política de falha que você aceitou. Se escolheu cobertura com bloqueio, mantenha uma forma de chegar à página de status do provedor a partir de outro dispositivo; se escolheu o recuo, saiba que a falha do túnel é silenciosa por projeto.

Num celular de trabalho gerenciado, a resposta é a política do administrador, e a ausência de um controle de pausa costuma ser deliberada, não um descuido a ser contornado. Pedir uma exceção pelo canal normal é mais rápido do que encontrar um contorno que a próxima atualização de perfil removerá.

De qualquer forma, reveja a decisão quando o propósito mudar. Um túnel configurado para um único aplicativo interno se encaixa mal numa cobertura de navegação em tempo integral, e um perfil de túnel completo mantido para um só aplicativo move silenciosamente muito tráfego que você nunca pretendeu entregar.