Значок VPN на iPhone включён: покрывает ли он все приложения или просто работает?
Один значок, три разных утверждения. Отделите, что покрывает профиль, что делают правила по требованию и какое семейство адресов вы на самом деле проверили.
Значок появляется, приложение по-прежнему ведёт себя так, будто находится дома, и очевидный вывод — туннель сломан. Обычно ничего не сломано. Значок сообщает об одном подключении, тогда как вопрос за ним касается покрытия, и это разные утверждения.
Три условия определяют, какое утверждение вы можете сделать. Пока они не выяснены, любой результат теста неоднозначен.
За одним значком скрываются три ответа
Первый вопрос — что вы хотели, чтобы делал туннель. Доступ к внутренней вики, сокрытие вашего адреса от стримингового сервиса и защита одного управляемого приложения — это три разных требования, которые выполняют три разных профиля.
Второй — кому принадлежит профиль. Установленная лично конфигурация ведёт себя иначе, чем развёрнутая системой управления, и только вторая может нести правила для отдельных приложений, которые применяет iOS. Значок не может различить эти две.
Третий — семейство адресов, на котором вы стоите. Туннель, передающий IPv4, пока сеть выдаёт IPv6, оставляет один путь вне туннеля. Тест, который доходит только до сайта IPv4, этого никогда не увидит.
Профили для отдельных приложений покрывают только свои приложения
VPN для отдельных приложений — это случай, который порождает больше всего ложных тревог. Профиль называет приложения, трафик которых попадает в туннель, а всё остальное по замыслу продолжает идти по локальной сети. Поэтому то, что ваш публичный адрес в браузере не меняется, — ожидаемое поведение, а не доказательство сбоя. Ничто в строке состояния этому не противоречит.
Проверьте приложение, для которого создан профиль, и проверьте его на ресурсе, который существует только внутри. Успешный внутренний запрос из указанного приложения описывает рабочую конфигурацию. Обычный публичный адрес в Safari тогда описывает профиль для отдельных приложений, работающий именно так, как настроено.
Правила по требованию меняют то, что вы наблюдаете
Конфигурация по требованию решает, когда устанавливается соединение, а не покрыт ли трафик. Правило может поднять туннель, когда запрашивается определённый домен, и опустить его, когда запрос завершается, а значит, появление и исчезновение значка при обычном использовании — это работающий замысел. Прочитайте правила, прежде чем толковать значок.
Такое поведение объясняет и результаты, которые в течение дня кажутся непоследовательными. Одно и то же приложение может идти через туннель в десять утра и быть прямым в полдень, потому что изменилось условие срабатывания, а не политика.
Одна проверка не является доказательством покрытия
Одна проверка в браузере доказывает, что один запрос прошёл одним путём, и не более. Она ничего не говорит о втором приложении с собственным сетевым стеком, о фоновой синхронизации, которая прошла до поднятия туннеля, или о соединении, пережившем смену сети, потому что старый сокет так и не был восстановлен. Этот пробел — проблема охвата, а не утечка.
| Observation | Decide this first | Then test |
|---|---|---|
| Badge on, public address unchanged | Is the profile per-app? | The named internal app, not a browser |
| Badge flickers during the day | Are on-demand rules present? | Whether the flip follows a trigger domain |
| Internal app works, another fails | Is that app in the profile? | Its own settings and any proxy config |
| Nothing works while badge is on | Is this a path failure? | Name resolution and a known-good internal host |
Четвёртая строка — единственная, которая указывает на неисправность. Подключённый туннель с нарушенным разрешением имён, отсутствующий обратный маршрут или просто неработающий сервис выглядят с точки зрения приложения одинаково.
Что записать перед эскалацией
Запишите имя профиля, пришёл ли он из системы управления, есть ли правила для отдельных приложений и точное время неудачного запроса. Добавьте проверенное семейство адресов и приложение, из которого вы проверяли. Никакое число на экране не заменяет этот список. Эта запись отделяет вопрос о покрытии от сбоя за один проход.
Держите в поле зрения и основы безопасности. Туннель не заменяет проверку сертификатов, защиту учётной записи или разрешения устройства. Значок рядом с состоянием сети не является доказательством того, что что-то из этого настроено, и именно так утверждение о приватности строится на силе значка.
Обзор развёртывания VPN от Apple описывает типы профилей и поведение по требованию, стоящие за этими различиями. Прочитайте его, прежде чем спорить с системой управления о том, что должен покрывать профиль.