Låta VPN:en på iPhone vara på hela tiden? Två krav avgör

Två personer låter samma VPN-profil vara på hela dagen och får olika nytta av den. Den ene når en privat arbetsapplikation utan att tänka på det; den andre håller en personlig tunnel igång mest av vana. Båda ser samma indikator i statusfältet, och den indikatorn är det enda som de två uppläggen har gemensamt.

Beslutet handlar inte om huruvida varaktig täckning känns säkrare. Det handlar om vilket krav du betalar för, vad klienten gör när gatewayen inte går att nå, och hur mycket av din trafik den valda operatören kan se. Svara på de tre och reglaget slutar vara en smaksak.

Två jobb som delar en ikon

Det första jobbet är åtkomst: en bestämd uppsättning privata resurser bör vara nåbar när du öppnar appen, var du än är. Det andra jobbet är täckning: trafik som annars skulle korsa ett okänt nätverk bör i stället gå ut genom en tjänst du litar på.

De pekar mot olika konfigurationer. Åtkomst vill ha den smalaste omfattning som fortfarande fungerar, eftersom en full tunnel för en intern applikation skickar allt annat genom ett nätverk som aldrig dimensionerades för det. Täckning vill ha den bredaste omfattning du kan tolerera, eftersom en tunnel som bara bär vissa applikationer lämnar resten exponerad på just det nätverk du oroade dig för. De flesta felkonfigurerade telefonerna slutar som en blandning av båda, därför måste kravet namnges innan profilen väljs.

Privat arbetsåtkomst: omfattning slår varaktighet

Om målet är att nå en intern applikation är den användbara frågan när tunneln aktiveras, inte om den förblir påslagen. Ett hanterat upplägg per app kan skicka bara den applikationens trafik genom gatewayen, vilket håller privat surfning på den vanliga vägen och arbetstrafik på den godkända. Det är en annan form av kontroll än en full tunnel, och det ändrar vad indikatorn betyder. Med omfattning per app kan ikonen saknas medan arbetsappen fortfarande når sin tjänst.

Den omfattningen är ett policybeslut av den som äger utrullningen, inte en personlig preferens du kan sluta dig till från appens beteende. Klientens inställningsskärmar avslöjar inte alltid vilken av plattformens flera mekanismer som gäller, och etiketterna överlappar på sätt som vilseleder.

Apples dokumentation skiljer på villkorad aktivering, val per app och hanterat alltid-på-beteende. En tredjepartsklients reglage för automatisk anslutning tillhör inte i sig någon av dessa kategorier, så en etikett som låter likvärdig bör inte läsas som ett löfte om den hanterade egenskapen.

Den praktiska kontrollen är en begäran till en tjänst du vet är intern, gjord med tunneln medvetet avstängd. Om den lyckas är tunneln inte den kontroll du tror, och resten av konfigurationen förtjänar en andra titt innan du räknar med den.

Täckt surf: felpolicyn är produkten

Om målet är täckning i okända nätverk är den intressanta delen av produkten inte anslutningen utan frånkopplingen. Två klienter som båda ansluter automatiskt kan bete sig helt olika i det ögonblick gatewayen nekar eller nätverket blockerar den.

En blockeringspolicy gör täckt trafik otillgänglig så länge tunneln inte kan upprättas. Det är den starkaste versionen av täckning och den mest störande: ett avbrott blir ditt avbrott, och en captive portal blir en vägg du inte kommer förbi för att nå sidan som skulle släppa igenom dig.

En reservpolicy håller dig online genom att låta trafiken ta den vanliga vägen. Det är mer användbart och svagare per definition, eftersom just det ögonblick då tunneln fallerar är det ögonblick då trafiken lämnar utan kryptering genom vilket nätverk du än är på. Trafiken lämnar ändå, och den lämnar på det nätverk du inte litade på. Det är bytet, sagt utan marknadsföringen.

Ingen av dem är fel, och felet är att upptäcka under en resa vilken du köpte. Testa det hemma: stäng av tunnelns förmåga att ansluta och se sedan om sidor laddas. Det enda experimentet säger dig mer än någon beskrivning på en leverantörs marknadsföringssida.

Vad tunneln inte åtgärdar

Att dirigera trafik genom en operatör ger den operatören en position i din anslutningsväg. Det gör inte webbplatserna du besöker pålitliga, och det ersätter inte HTTPS, kontosäkerhet eller omsorgen om vilka profiler du installerar. En tunnel som slutar i en leverantörs nätverk är en förändring av vem som kan observera vad, inte ett avlägsnande av frågan.

Samma sak gäller det lokala nätverket. En VPN kan hålla din trafik borta från ett hotels åtkomstnätverk, och den kan inte hindra det nätverket från att blockera själva tunneln eller störa namnmatchningen innan tunneln finns.

Prestanda och batteri hör till samma kategori av ärlig observation. Ingen fast straffavgift är kopplad till indikatorn; vägen gatewayen tar, åtkomstnätets kvalitet, mängden trafik och frekvensen av återanslutningar flyttar alla talet. Att jämföra två konfigurationer vid samma användning är den enda mätningen som betyder något.

Välj för den enhet du faktiskt har

På en personlig telefon väljer du det beteende som passar ditt krav och skriver ner den felpolicy du har accepterat. Om du valde täckning med blockering, behåll ett sätt att nå leverantörens statussida från en annan enhet; om du valde reserv, vet att tunnelns fel är tyst av design.

På en hanterad arbetstelefon är svaret administratörens policy, och avsaknaden av en pauskontroll är vanligtvis avsiktlig och inte en förbiseende att kringgå. Att be om ett undantag via den vanliga kanalen går snabbare än att hitta en omväg som nästa profiluppdatering tar bort.

Hur som helst, se över beslutet när syftet ändras. En tunnel konfigurerad för en intern applikation passar dåligt för täckning av surf på heltid, och en fulltunnelprofil som hålls för en enda app flyttar tyst mycket trafik som du aldrig tänkt lämna ifrån dig.