Ícone de VPN no iPhone ativo: cobre todos os apps ou apenas funciona?
Um selo, três afirmações diferentes. Separe o que o perfil cobre, o que as regras sob demanda fazem e qual família de endereços você realmente testou.
O selo aparece, o app continua a comportar-se como se estivesse em casa, e a conclusão óbvia é que o túnel está quebrado. Normalmente nada está quebrado. O selo relata uma conexão, enquanto a pergunta por trás é sobre cobertura, e são afirmações diferentes.
Três condições decidem qual afirmação você pode fazer. Até serem resolvidas, qualquer resultado de teste é ambíguo.
Três respostas escondem-se atrás de um ícone
A primeira pergunta é o que você queria que o túnel fizesse. Alcançar uma wiki interna, esconder seu endereço de um serviço de streaming e proteger um único app gerenciado são três requisitos diferentes que três perfis diferentes satisfazem.
A segunda é de quem é o perfil. Uma configuração instalada pessoalmente comporta-se de forma diferente de uma enviada por um sistema de gestão, e só a segunda pode carregar regras por app que o iOS aplica. O selo não consegue distinguir as duas.
A terceira é a família de endereços em que você está. Um túnel que transporta IPv4 enquanto a rede distribui IPv6 deixa um caminho fora do túnel. Um teste que só alcança um site IPv4 nunca o verá.
Perfis por app cobrem apenas seus próprios apps
Um VPN por app é o caso que produz mais falsos alarmes. O perfil nomeia os apps cujo tráfego entra no túnel, e todo o resto continua na rede local por design. Que seu endereço público permaneça o mesmo no navegador é, portanto, comportamento esperado e não prova de falha. Nada na barra de status o contradiz.
Teste o app para o qual o perfil foi criado e teste-o contra um recurso que só existe internamente. Uma solicitação interna bem-sucedida a partir do app indicado descreve uma configuração que funciona. Um endereço público normal no Safari descreve então um perfil por app que funciona exatamente como configurado.
As regras sob demanda mudam o que você observa
A configuração sob demanda decide quando uma conexão é estabelecida, não se o tráfego está coberto. Uma regra pode levantar o túnel quando um domínio específico é solicitado e derrubá-lo quando a solicitação termina, o que significa que o selo que aparece e desaparece durante o uso normal é o design funcionando. Leia as regras antes de interpretar o selo.
Esse comportamento também explica resultados que parecem inconsistentes ao longo do dia. O mesmo app pode passar pelo túnel às dez da manhã e ser direto ao meio-dia, porque a condição de disparo mudou e não a política.
Uma sonda não é prova de cobertura
Uma única verificação no navegador prova que uma solicitação seguiu um caminho, e nada mais. Não diz nada sobre um segundo app com sua própria pilha de rede, uma sincronização em segundo plano que correu antes de o túnel subir, ou uma conexão que sobreviveu a uma mudança de rede porque o socket antigo nunca foi restabelecido. Essa lacuna é um problema de alcance, não um vazamento.
| Observation | Decide this first | Then test |
|---|---|---|
| Badge on, public address unchanged | Is the profile per-app? | The named internal app, not a browser |
| Badge flickers during the day | Are on-demand rules present? | Whether the flip follows a trigger domain |
| Internal app works, another fails | Is that app in the profile? | Its own settings and any proxy config |
| Nothing works while badge is on | Is this a path failure? | Name resolution and a known-good internal host |
A quarta linha é a única que aponta para uma falha. Um túnel conectado com resolução de nomes quebrada, uma rota de retorno ausente ou um serviço simplesmente fora do ar parecem iguais do ponto de vista do app.
O que registrar antes de escalar
Anote o nome do perfil, se veio de um sistema de gestão, se há regras por app e a hora exata da solicitação que falhou. Acrescente a família de endereços testada e o app a partir do qual você testou. Nenhum número na tela substitui essa lista. Esse registro separa uma questão de cobertura de uma queda em uma única rodada.
Tenha também em vista os fundamentos de segurança. Um túnel não substitui a validação de certificados, a proteção da conta ou as permissões do dispositivo. Um ícone ao lado do status da rede não é prova de que qualquer um deles esteja configurado, e tratá-lo assim é como uma afirmação de privacidade se constrói sobre a força de um selo.
A visão geral de implantação de VPN da Apple descreve os tipos de perfil e o comportamento sob demanda por trás dessas diferenças. Leia-a antes de discutir com um sistema de gestão sobre o que um perfil deveria cobrir.