ไอคอน VPN บน iPhone เปิดอยู่: ครอบคลุมทุกแอปหรือแค่ทำงานได้?
ป้ายเดียว สามข้ออ้างที่ต่างกัน แยกให้ชัดว่าโปรไฟล์ครอบคลุมอะไร กฎตามคำขอทำอะไร และคุณทดสอบตระกูลที่อยู่ใดจริง ๆ
ป้ายปรากฏขึ้น แอปยังทำงานราวกับอยู่ที่บ้าน และข้อสรุปที่ชัดเจนคืออุโมงค์เสีย ปกติแล้วไม่มีอะไรเสีย ป้ายรายงานการเชื่อมต่อเดียว ขณะที่คำถามเบื้องหลังเกี่ยวกับความครอบคลุม และนี่คือข้ออ้างที่ต่างกัน
เงื่อนไขสามข้อตัดสินว่าคุณจะกล่าวอ้างอะไรได้ จนกว่าจะชัดเจน ผลทดสอบใด ๆ ก็คลุมเครือ
สามคำตอบซ่อนอยู่หลังไอคอนเดียว
คำถามแรกคือคุณต้องการให้อุโมงค์ทำอะไร การเข้าถึงวิกิภายใน การซ่อนที่อยู่ของคุณจากบริการสตรีมมิ่ง และการปกป้องแอปที่จัดการหนึ่งตัวเป็นความต้องการที่ต่างกันสามข้อซึ่งโปรไฟล์สามแบบตอบสนอง
ข้อที่สองคือโปรไฟล์เป็นของใคร การกำหนดค่าที่ติดตั้งเองทำงานต่างจากการกำหนดค่าที่ระบบจัดการผลักไป และมีเพียงแบบหลังเท่านั้นที่พากฎรายแอปที่ iOS บังคับใช้ได้ ป้ายไม่สามารถแยกสองสิ่งนี้ได้
ข้อที่สามคือตระกูลที่อยู่ที่คุณยืนอยู่ อุโมงค์ที่พา IPv4 ขณะที่เครือข่ายแจก IPv6 จะทิ้งเส้นทางหนึ่งไว้นอกอุโมงค์ การทดสอบที่เข้าถึงเฉพาะไซต์ IPv4 จะไม่มีวันเห็นสิ่งนั้น
โปรไฟล์รายแอปครอบคลุมเฉพาะแอปของตัวเอง
VPN รายแอปคือกรณีที่สร้างสัญญาณเตือนผิดพลาดมากที่สุด โปรไฟล์ระบุชื่อแอปที่ทราฟฟิกเข้าสู่อุโมงค์ และทุกอย่างที่เหลือดำเนินต่อบนเครือข่ายท้องถิ่นตามการออกแบบ ดังนั้นการที่ที่อยู่สาธารณะของคุณยังเหมือนเดิมในเบราว์เซอร์จึงเป็นพฤติกรรมที่คาดไว้ ไม่ใช่หลักฐานของความล้มเหลว ไม่มีสิ่งใดในแถบสถานะขัดแย้งกับเรื่องนี้
ทดสอบแอปที่โปรไฟล์ถูกสร้างขึ้นมาเพื่อมัน และทดสอบกับทรัพยากรที่มีอยู่เฉพาะภายใน คำขอภายในที่สำเร็จจากแอปที่ระบุบ่งบอกถึงการตั้งค่าที่ทำงานได้ จากนั้นที่อยู่สาธารณะปกติใน Safari บ่งบอกถึงโปรไฟล์รายแอปที่ทำงานตรงตามที่กำหนดค่าไว้
กฎตามคำขอเปลี่ยนสิ่งที่คุณสังเกต
การกำหนดค่าตามคำขอตัดสินว่าเมื่อใดจะสร้างการเชื่อมต่อ ไม่ใช่ทราฟฟิกถูกครอบคลุมหรือไม่ กฎสามารถยกอุโมงค์ขึ้นเมื่อมีการขอโดเมนหนึ่งและลดลงเมื่อคำขอสิ้นสุด ซึ่งหมายความว่าการที่ป้ายปรากฏและหายไประหว่างการใช้งานปกติคือการออกแบบที่ทำงานอยู่ อ่านกฎก่อนตีความป้าย
พฤติกรรมนี้ยังอธิบายผลลัพธ์ที่ดูไม่สอดคล้องกันตลอดทั้งวัน แอปเดียวกันอาจผ่านอุโมงค์ตอนสิบโมงเช้าและเป็นแบบตรงตอนเที่ยง เพราะเงื่อนไขทริกเกอร์เปลี่ยนไป ไม่ใช่นโยบาย
การตรวจครั้งเดียวไม่ใช่หลักฐานของความครอบคลุม
การตรวจในเบราว์เซอร์ครั้งเดียวพิสูจน์ว่าคำขอหนึ่งเดินทางหนึ่งเส้นทาง และไม่มีมากกว่านั้น ไม่ได้บอกอะไรเกี่ยวกับแอปที่สองที่มีสแต็กเครือข่ายของตัวเอง การซิงก์เบื้องหลังที่ทำงานก่อนอุโมงค์จะขึ้น หรือการเชื่อมต่อที่รอดจากการเปลี่ยนเครือข่ายเพราะซ็อกเก็ตเดิมไม่เคยถูกสร้างใหม่ ช่องว่างนั้นเป็นปัญหาเรื่องขอบเขต ไม่ใช่การรั่วไหล
| Observation | Decide this first | Then test |
|---|---|---|
| Badge on, public address unchanged | Is the profile per-app? | The named internal app, not a browser |
| Badge flickers during the day | Are on-demand rules present? | Whether the flip follows a trigger domain |
| Internal app works, another fails | Is that app in the profile? | Its own settings and any proxy config |
| Nothing works while badge is on | Is this a path failure? | Name resolution and a known-good internal host |
แถวที่สี่เป็นแถวเดียวที่ชี้ไปที่ข้อบกพร่อง อุโมงค์ที่เชื่อมต่ออยู่แต่การแก้ชื่อเสีย เส้นทางขากลับหาย หรือบริการที่หยุดไปเฉย ๆ ดูเหมือนกันจากมุมมองของแอป
สิ่งที่ควรบันทึกก่อนยกระดับ
บันทึกชื่อโปรไฟล์ ว่ามาจากระบบจัดการหรือไม่ มีกฎรายแอปหรือไม่ และเวลาที่แน่นอนของคำขอที่ล้มเหลว เพิ่มตระกูลที่อยู่ที่ทดสอบและแอปที่ใช้ทดสอบ ไม่มีตัวเลขใดบนหน้าจอแทนที่รายการนั้นได้ บันทึกนั้นแยกคำถามเรื่องความครอบคลุมออกจากเหตุขัดข้องในรอบเดียว
ควรมองพื้นฐานความปลอดภัยไว้ด้วย อุโมงค์ไม่แทนการตรวจสอบใบรับรอง การปกป้องบัญชี หรือสิทธิ์ของอุปกรณ์ ไอคอนที่ปรากฏข้างสถานะเครือข่ายไม่ใช่หลักฐานว่าสิ่งใดถูกกำหนดค่า และการปฏิบัติเช่นนั้นคือวิธีที่ข้ออ้างเรื่องความเป็นส่วนตัวถูกสร้างบนความแข็งแรงของป้าย
ภาพรวมการติดตั้งใช้งาน VPN ของ Apple อธิบายประเภทโปรไฟล์และพฤติกรรมตามคำขอที่อยู่เบื้องหลังความแตกต่างเหล่านี้ อ่านก่อนโต้เถียงกับระบบจัดการเกี่ยวกับสิ่งที่โปรไฟล์ควรครอบคลุม