VPN-ikonen på iPhone är på: täcker den alla appar eller fungerar den bara?
Ett märke, tre olika påståenden. Skilj på vad profilen täcker, vad on-demand-regler gör och vilken adressfamilj du faktiskt testade.
Märket visas, appen beter sig fortfarande som om den vore hemma, och den självklara slutsatsen är att tunneln är trasig. Vanligtvis är ingenting trasigt. Märket rapporterar en anslutning, medan frågan bakom handlar om täckning, och det är olika påståenden.
Tre villkor avgör vilket påstående du kan göra. Tills de är klarlagda är varje testresultat tvetydigt.
Tre svar gömmer sig bakom en ikon
Den första frågan är vad du ville att tunneln skulle göra. Att nå en intern wiki, dölja din adress för en streamingtjänst och skydda en enda hanterad app är tre olika krav som tre olika profiler uppfyller.
Den andra är vem som äger profilen. En personligt installerad konfiguration beter sig annorlunda än en som skickas ut av ett hanteringssystem, och bara den andra kan bära regler per app som iOS genomdriver. Märket kan inte skilja de två.
Den tredje är den adressfamilj du står på. En tunnel som bär IPv4 medan nätet delar ut IPv6 lämnar en väg utanför tunneln. Ett test som bara når en IPv4-webbplats kommer aldrig att se det.
Profiler per app täcker bara sina egna appar
En VPN per app är fallet som ger flest falska larm. Profilen namnger de appar vars trafik går in i tunneln, och allt annat fortsätter på det lokala nätet enligt design. Att din offentliga adress blir kvar densamma i en webbläsare är därför förväntat beteende, inte bevis på fel. Ingenting i statusfältet motsäger det.
Testa appen som profilen byggdes för och testa den mot en resurs som bara finns inuti. En lyckad intern begäran från den namngivna appen beskriver en fungerande konfiguration. En normal offentlig adress i Safari beskriver då en profil per app som fungerar exakt som konfigurerat.
On-demand-regler ändrar det du observerar
On-demand-konfiguration avgör när en anslutning upprättas, inte om trafik är täckt. En regel kan lyfta tunneln när en viss domän begärs och ta ner den när begäran är klar, vilket betyder att märket som visas och försvinner under normal användning är designen som fungerar. Läs reglerna innan du tolkar märket.
Det beteendet förklarar också resultat som verkar inkonsekventa under dagen. Samma app kan gå genom tunneln klockan tio på morgonen och vara direkt vid lunch, eftersom utlösarvillkoret ändrades och inte policyn.
En kontroll är inte ett bevis på täckning
En enda webbläsarkontroll bevisar att en begäran tog en väg, och inget mer. Den säger ingenting om en andra app med sin egen nätverksstack, en bakgrundssynkronisering som kördes innan tunneln kom upp, eller en anslutning som överlevde ett nätverksbyte eftersom den gamla socketen aldrig återupprättades. Den luckan är ett omfångsproblem, inte en läcka.
| Observation | Decide this first | Then test |
|---|---|---|
| Badge on, public address unchanged | Is the profile per-app? | The named internal app, not a browser |
| Badge flickers during the day | Are on-demand rules present? | Whether the flip follows a trigger domain |
| Internal app works, another fails | Is that app in the profile? | Its own settings and any proxy config |
| Nothing works while badge is on | Is this a path failure? | Name resolution and a known-good internal host |
Den fjärde raden är den enda som pekar på ett fel. En ansluten tunnel med bruten namnmatchning, en saknad returväg eller en tjänst som helt enkelt är nere ser likadana ut från appens perspektiv.
Vad du bör anteckna innan du eskalerar
Skriv ner profilnamnet, om det kom från ett hanteringssystem, om det finns regler per app och den exakta tiden för den misslyckade begäran. Lägg till adressfamiljen du testade och appen du testade från. Ingen siffra på skärmen ersätter den listan. Den anteckningen skiljer en täckningsfråga från ett avbrott i en enda runda.
Ha också säkerhetsgrunderna i åtanke. En tunnel ersätter inte certifikatvalidering, kontoskydd eller enhetsbehörigheter. En ikon bredvid nätverksstatusen är inte bevis för att något av det är konfigurerat, och det är precis så ett integritetspåstående byggs på styrkan av ett märke.
Apples översikt över distribution av VPN beskriver profiltyperna och on-demand-beteendet bakom dessa skillnader. Läs den innan du diskuterar med ett hanteringssystem om vad en profil bör täcka.