Pictograma VPN pe iPhone activ: acoperă fiecare aplicație sau doar funcționează?
Un singur ecuson, trei afirmații diferite. Separă ce acoperă profilul, ce fac regulile la cerere și ce familie de adrese ai testat de fapt.
Ecusonul apare, aplicația se comportă în continuare ca și cum ar fi acasă, iar concluzia evidentă este că tunelul este stricat. De obicei nimic nu este stricat. Ecusonul raportează o singură conexiune, în timp ce întrebarea din spate este despre acoperire, iar acestea sunt afirmații diferite.
Trei condiții decid ce afirmație poți face. Până când nu sunt lămurite, orice rezultat de test este ambiguu.
Trei răspunsuri se ascund în spatele unei pictograme
Prima întrebare este ce voiai ca tunelul să facă. A ajunge la un wiki intern, a-ți ascunde adresa de un serviciu de streaming și a proteja o singură aplicație administrată sunt trei cerințe diferite pe care le îndeplinesc trei profiluri diferite.
A doua este a cui este profilul. O configurație instalată personal se comportă diferit de una trimisă de un sistem de gestionare, iar doar a doua poate purta reguli pentru fiecare aplicație pe care le impune iOS. Ecusonul nu poate distinge cele două.
A treia este familia de adrese pe care stai. Un tunel care transportă IPv4 în timp ce rețeaua distribuie IPv6 lasă o cale în afara tunelului. Un test care ajunge doar la un site IPv4 nu o va vedea niciodată.
Profilurile pentru fiecare aplicație acoperă doar aplicațiile lor
Un VPN pentru fiecare aplicație este cazul care produce cele mai multe alarme false. Profilul numește aplicațiile al căror trafic intră în tunel, iar restul continuă pe rețeaua locală prin proiectare. Faptul că adresa ta publică rămâne aceeași în browser este, așadar, comportament așteptat, nu dovadă a unei defecțiuni. Nimic din bara de stare nu contrazice asta.
Testează aplicația pentru care a fost construit profilul și testeaz-o împotriva unei resurse care există doar în interior. O cerere internă reușită din aplicația numită descrie o configurație funcțională. Apoi o adresă publică normală în Safari descrie un profil pentru fiecare aplicație care funcționează exact așa cum a fost configurat.
Regulile la cerere schimbă ceea ce observi
Configurația la cerere decide când se stabilește o conexiune, nu dacă traficul este acoperit. O regulă poate ridica tunelul când este cerut un anumit domeniu și îl poate coborî când cererea se termină, ceea ce înseamnă că eclipsarea ecusonului în utilizarea obișnuită este proiectul care funcționează. Citește regulile înainte de a interpreta ecusonul.
Acest comportament explică și rezultatele care par inconsecvente de-a lungul zilei. Aceeași aplicație poate trece prin tunel la zece dimineața și poate fi directă la amiază, pentru că s-a schimbat condiția de declanșare, nu politica.
O singură probă nu este dovada acoperirii
O singură verificare în browser dovedește că o cerere a urmat o cale, și nimic mai mult. Nu spune nimic despre o a doua aplicație cu propriul stivă de rețea, despre o sincronizare din fundal care a rulat înainte ca tunelul să urce, sau despre o conexiune care a supraviețuit unei schimbări de rețea pentru că vechiul socket nu a fost niciodată restabilit. Acel gol este o problemă de amploare, nu o scurgere.
| Observation | Decide this first | Then test |
|---|---|---|
| Badge on, public address unchanged | Is the profile per-app? | The named internal app, not a browser |
| Badge flickers during the day | Are on-demand rules present? | Whether the flip follows a trigger domain |
| Internal app works, another fails | Is that app in the profile? | Its own settings and any proxy config |
| Nothing works while badge is on | Is this a path failure? | Name resolution and a known-good internal host |
Al patrulea rând este singurul care indică o defecțiune. Un tunel conectat cu rezoluția numelor stricată, o rută de întoarcere lipsă sau un serviciu pur și simplu căzut arată la fel din perspectiva aplicației.
Ce să notezi înainte de escaladare
Notează numele profilului, dacă a venit dintr-un sistem de gestionare, dacă există reguli pentru fiecare aplicație și ora exactă a cererii eșuate. Adaugă familia de adrese testată și aplicația din care ai testat. Niciun număr de pe ecran nu înlocuiește acea listă. Acea înregistrare separă întrebarea despre acoperire de o pană într-o singură rundă.
Ai în vedere și elementele de bază ale securității. Un tunel nu înlocuiește validarea certificatelor, protecția contului sau permisiunile dispozitivului. O pictogramă lângă starea rețelei nu este dovada că vreuna dintre ele este configurată, și exact așa se construiește o afirmație despre confidențialitate pe puterea unui ecuson.
Prezentarea generală a implementării VPN de la Apple descrie tipurile de profil și comportamentul la cerere din spatele acestor diferențe. Citește-o înainte de a discuta cu un sistem de gestionare despre ce ar trebui să acopere un profil.