Держать VPN на iPhone включённым всегда? Решают два требования

Два человека оставляют один и тот же профиль VPN включённым весь день и получают от него разную пользу. Один попадает в частное рабочее приложение, не задумываясь; другой держит личный туннель включённым в основном по привычке. Оба видят один и тот же индикатор в строке состояния, и этот индикатор — единственное, что объединяет два варианта.

Решение не в том, кажется ли постоянное покрытие более безопасным. Оно в том, за какое требование вы платите, что делает клиент, когда шлюз недоступен, и сколько вашего трафика видит выбранный оператор. Ответьте на эти три, и переключатель перестанет быть вопросом вкуса.

Две задачи, которые делят один значок

Первая задача — доступ: определённый набор частных ресурсов должен быть доступен при открытии приложения, где бы вы ни находились. Вторая задача — покрытие: трафик, который иначе прошёл бы через незнакомую сеть, должен выходить через сервис, которому вы доверяете.

Они указывают на разные конфигурации. Доступ хочет самый узкий охват, который ещё работает, потому что полный туннель для одного внутреннего приложения отправляет всё остальное через сеть, которая никогда не рассчитывалась на это. Покрытие хочет самый широкий охват, который вы выдержите, потому что туннель, несущий только часть приложений, оставляет остальное открытым именно в той сети, из-за которой вы беспокоились. Большинство неверно настроенных телефонов заканчиваются смесью обоих, поэтому требование нужно назвать до выбора профиля.

Частный рабочий доступ: охват важнее постоянства

Если цель — добраться до внутреннего приложения, полезный вопрос в том, когда туннель активируется, а не остаётся ли он включённым. Управляемая схема для отдельного приложения может отправлять через шлюз только трафик этого приложения, что оставляет личный просмотр на обычном пути, а рабочий трафик — на одобренном. Это другая форма контроля, чем полный туннель, и она меняет значение индикатора. При охвате для приложения значок может отсутствовать, пока рабочее приложение всё ещё достигает своего сервиса.

Этот охват — политическое решение владельца развёртывания, а не личное предпочтение, которое можно вывести из поведения приложения. Экраны настроек клиента не всегда показывают, какой из нескольких механизмов платформы действует, а обозначения перекрываются так, что вводят в заблуждение.

Документация Apple различает условную активацию, выбор для отдельного приложения и управляемое поведение «всегда включено». Переключатель автоматического подключения стороннего клиента сам по себе не относится ни к одной из этих категорий, поэтому обозначение, которое звучит равнозначно, не следует читать как обещание управляемого свойства.

Практическая проверка — запрос к сервису, о котором вы знаете, что он внутренний, сделанный при намеренно выключенном туннеле. Если он успешен, туннель — не тот контроль, который вы думаете, а остальная конфигурация заслуживает второго взгляда, прежде чем на неё полагаться.

Покрытый просмотр: политика отказа и есть продукт

Если цель — покрытие в незнакомых сетях, интересная часть продукта не подключение, а отключение. Два клиента, которые оба подключаются автоматически, могут вести себя совершенно по-разному в момент, когда шлюз отказывает или сеть его блокирует.

Политика блокировки делает покрытый трафик недоступным, пока туннель не может быть установлен. Это самая сильная версия покрытия и самая неудобная: сбой становится вашим сбоем, а пленённый портал — стеной, через которую не пройти к странице, которая пропустила бы вас.

Политика отката оставляет вас онлайн, позволяя трафику идти обычным путём. Это удобнее и по определению слабее, потому что именно в момент отказа туннеля трафик уходит без шифрования через ту сеть, в которой вы находитесь. Трафик всё равно уходит, и уходит в сети, которой вы не доверяли. Вот и весь обмен, без маркетинга.

Ни один из вариантов не ошибочен, а ошибка — узнать во время поездки, какой вы купили. Проверьте дома: отключите способность туннеля подключаться и посмотрите, загружаются ли страницы. Этот единственный эксперимент скажет вам больше, чем любое описание на маркетинговой странице провайдера.

Чего туннель не исправляет

Пропуск трафика через одного оператора даёт этому оператору позицию на вашем пути соединения. Это не делает сайты, которые вы посещаете, надёжными и не заменяет HTTPS, безопасность аккаунта или заботу о том, какие профили вы устанавливаете. Туннель, заканчивающийся в сети провайдера, — это изменение того, кто что может наблюдать, а не снятие вопроса.

То же относится к локальной сети. VPN может держать ваш трафик в стороне от сети доступа отеля, и он не может помешать этой сети блокировать сам туннель или вмешиваться в разрешение имён до того, как туннель появится.

Производительность и батарея относятся к той же категории честного наблюдения. К индикатору не привязан фиксированный штраф; маршрут, который выбирает шлюз, качество сети доступа, объём трафика и частота переподключений — всё это двигает число. Сравнение двух конфигураций при одинаковом использовании — единственное измерение, которое что-то значит.

Выбирайте под устройство, которое у вас действительно есть

На личном телефоне выберите поведение, соответствующее вашему требованию, и запишите принятую политику отказа. Если вы выбрали покрытие с блокировкой, сохраните способ добраться до страницы состояния провайдера с другого устройства; если выбрали откат, знайте, что отказ туннеля тих по замыслу.

На управляемом рабочем телефоне ответ — политика администратора, и отсутствие контроля паузы обычно намеренно, а не недосмотр, который нужно обойти. Попросить исключение через обычный канал быстрее, чем искать обход, который уберёт следующее обновление профиля.

В любом случае пересмотрите решение, когда меняется цель. Туннель, настроенный для одного внутреннего приложения, плохо подходит для покрытия просмотра на полную ставку, а профиль полного туннеля, который держат для одного приложения, тихо переносит массу трафика, который вы никогда не собирались передавать.