Тримати VPN на iPhone постійно ввімкненим? Вирішують дві вимоги

Двоє людей залишають той самий профіль VPN увімкненим цілий день і отримують від нього різну користь. Один потрапляє до приватного робочого застосунку, не замислюючись; другий тримає особистий тунель у роботі переважно зі звички. Обидва бачать той самий індикатор у рядку стану, і цей індикатор — єдине, що об’єднує два налаштування.

Рішення не в тому, чи постійне покриття здається безпечнішим. Воно в тому, за яку вимогу ви платите, що робить клієнт, коли шлюз недосяжний, і скільки вашого трафіку бачить обраний оператор. Дайте відповідь на ці три, і перемикач перестане бути питанням смаку.

Два завдання, що ділять одну піктограму

Перше завдання — доступ: певний набір приватних ресурсів має бути доступним, коли ви відкриваєте застосунок, де б ви не були. Друге завдання — покриття: трафік, який інакше пройшов би через незнайому мережу, має виходити через сервіс, якому ви довіряєте.

Вони вказують на різні конфігурації. Доступ хоче найвужчого охоплення, яке ще працює, бо повний тунель для одного внутрішнього застосунку надсилає все інше через мережу, яка ніколи не розраховувалася на це. Покриття хоче найширшого охоплення, яке ви витримаєте, бо тунель, що несе лише частину застосунків, залишає решту відкритою саме в тій мережі, через яку ви хвилювалися. Більшість неправильно налаштованих телефонів закінчують сумішшю обох, тому вимогу треба назвати до вибору профілю.

Приватний робочий доступ: охоплення важливіше за тривалість

Якщо мета — дістатися до внутрішнього застосунку, корисне питання в тому, коли тунель активується, а не чи він залишається ввімкненим. Керована схема для окремого застосунку може надсилати через шлюз лише трафік цього застосунку, що залишає особистий перегляд на звичайному шляху, а робочий трафік — на схваленому. Це інша форма контролю, ніж повний тунель, і вона змінює значення індикатора. За охоплення для застосунку піктограма може бути відсутня, поки робочий застосунок усе ще досягає свого сервісу.

Це охоплення — політичне рішення власника розгортання, а не особиста перевага, яку можна вивести з поведінки застосунку. Екрани налаштувань клієнта не завжди показують, який із кількох механізмів платформи діє, а позначки перекриваються так, що вводять в оману.

Документація Apple розрізняє умовну активацію, вибір для окремого застосунку та керовану поведінку «завжди ввімкнено». Перемикач автоматичного підключення стороннього клієнта сам по собі не належить до жодної з цих категорій, тому позначку, яка звучить рівнозначно, не слід читати як обіцянку керованої властивості.

Практична перевірка — запит до сервісу, про який ви знаєте, що він внутрішній, зроблений з навмисно вимкненим тунелем. Якщо він успішний, тунель — не той контроль, який ви думаєте, а решта конфігурації заслуговує другого погляду, перш ніж на неї покладатися.

Покритий перегляд: політика відмови і є продуктом

Якщо мета — покриття в незнайомих мережах, цікава частина продукту не підключення, а відключення. Два клієнти, які обидва підключаються автоматично, можуть поводитися зовсім по-різному в момент, коли шлюз відмовляє або мережа його блокує.

Політика блокування робить покритий трафік недоступним, доки тунель не може бути встановлений. Це найсильніша версія покриття і найбільш руйнівна: збій стає вашим збоєм, а полонений портал — стіною, через яку не пройти до сторінки, що пропустила б вас.

Політика відкату тримає вас онлайн, дозволяючи трафіку йти звичайним шляхом. Це зручніше і за визначенням слабше, бо саме в момент відмови тунелю трафік виходить без шифрування через ту мережу, у якій ви перебуваєте. Трафік усе одно виходить, і виходить у мережі, якій ви не довіряли. Ось і весь обмін, без маркетингу.

Жоден із варіантів не помилковий, а помилка — дізнатися під час подорожі, який ви купили. Перевірте вдома: вимкніть здатність тунелю підключатися і подивіться, чи завантажуються сторінки. Цей єдиний експеримент скаже вам більше, ніж будь-який опис на маркетинговій сторінці провайдера.

Чого тунель не виправляє

Пропуск трафіку через одного оператора дає цьому оператору позицію на вашому шляху з’єднання. Це не робить сайти, які ви відвідуєте, надійними і не замінює HTTPS, безпеку облікового запису чи турботу про те, які профілі ви встановлюєте. Тунель, що закінчується в мережі провайдера, — це зміна того, хто що може спостерігати, а не зняття питання.

Те саме стосується локальної мережі. VPN може тримати ваш трафік осторонь мережі доступу готелю, і він не може завадити цій мережі блокувати сам тунель або втручатися у розв’язання імен до того, як тунель з’явиться.

Продуктивність і батарея належать до тієї самої категорії чесного спостереження. До індикатора не прив’язаний фіксований штраф; маршрут, який обирає шлюз, якість мережі доступу, обсяг трафіку й частота повторних підключень — усе це рухає число. Порівняння двох конфігурацій за однакового використання — єдиний вимір, який щось означає.

Виберіть під пристрій, який справді маєте

На особистому телефоні виберіть поведінку, що відповідає вашій вимозі, і запишіть прийняту політику відмови. Якщо ви обрали покриття з блокуванням, збережіть спосіб дістатися до сторінки стану провайдера з іншого пристрою; якщо обрали відкат, знайте, що відмова тунелю тиха за задумом.

На керованому робочому телефоні відповідь — політика адміністратора, і відсутність контролю паузи зазвичай навмисна, а не недогляд, який треба обійти. Попросити виняток звичайним каналом швидше, ніж шукати обхід, який прибере наступне оновлення профілю.

У будь-якому разі перегляньте рішення, коли змінюється мета. Тунель, налаштований для одного внутрішнього застосунку, погано пасує до покриття перегляду на повну ставку, а профіль повного тунелю, який тримають для одного застосунку, тихо переносить багато трафіку, який ви ніколи не збиралися передавати.