Замок VPN на iPhone — это политика, а не протокол

Значок VPN показывает подключение, туннель на мгновение падает при смене сети, и трафик, который должен был блокироваться, уходит через мобильную сеть. Ничто в интерфейсе не сообщило о разрыве. Функция, на которую вы полагались, — это политика клиента и платформы, а название протокола в настройках не описывает, что происходит в эту секунду.

Описывайте замок как договор о состояниях, а не как свойство IKEv2 или On Demand.

Симптом: значок говорит подключено

Значок отражает представление клиента о собственном состоянии, и это представление может отставать от реальности на время переподключения. Кэшированная страница, быстрое переподключение или обновление статуса скрывают этот интервал. Стоит спрашивать не о том, был ли значок зелёным, а о том, что устройство разрешило, пока туннеля не было. Та же задержка объясняет, почему снимок экрана приложения — такое слабое доказательство: он фиксирует состояние, а не переход.

Этот вопрос имеет ответ только тогда, когда политика его определяет.

Что протокол на самом деле поддерживает

IKEv2 поддерживает и обновляет аутентифицированное отношение IPsec, а функции мобильности помогают восстановить его после смены адреса. Это утверждение о жизненном цикле туннеля. Оно ничего не говорит о разрешении iPhone отправлять другой трафик в разрыве, потому что это разрешение принадлежит платформе и клиенту, а не обмену ключами. Устройство, которое переподключилось меньше чем за секунду, всё равно имело окно, и интересное поведение живёт именно в этом окне.

On Demand — такое же описание поведения при активации, а не универсальная гарантия блокировки.

Что платформа предлагает разработчику

Network Extension от Apple предоставляет управление охватом трафика, а его руководство по маршрутизации отличает поведение с включением всех сетей от обычных включённых маршрутов и перечисляет системные исключения. Существует и управляемая модель развёртывания Always On, отдельная от настройки автоматического подключения личного приложения. Использует ли конкретное приложение что-то из этого — свойство приложения, а не протокола, на котором оно говорит.

Название переключателя не доказывает, какой API вызывает приложение.

Читайте функцию как договор

Попросите провайдера указать пять состояний: начальная активация, неожиданная потеря туннеля, намеренное отключение, выход из приложения и перезапуск устройства. Рядом с этим списком поставьте системные исключения и любой намеренный доступ к LAN. Затем спросите, является ли функция необязательной, принудительно включённой управлением или зависящей от режима клиента, потому что пауза, выбранная пользователем, и замок, навязанный организацией, — два разных продукта. Запишите эти пять ответов в журнал развёртывания, потому что следующий проверяющий задаст именно эти вопросы.

Функция, которая блокирует при неожиданной потере, но не при намеренном отключении, — это целостный дизайн. Просто это не тот, что описывала маркетинговая страница.

Как проверять разрывы

Проверяйте по одному переходу за раз с безвредным трафиком, в том приложении и семействе адресов, которые вам важны. Подтвердите, что было разрешено во время разрыва, а не то, что значок показал потом. Запишите версию клиента и политику рядом с результатом, потому что меняются оба, и ни то ни другое не видно с экрана настроек телефона. Это единственный способ отделить настоящий разрыв от медленного значка.

Если ответ важен для соответствия, попросите его в письменном виде, а не выводите из названия продукта.