Значок VPN на iPhone увімкнено: чи охоплює він усі програми чи просто працює?
Один значок, три різні твердження. Відокремте, що охоплює профіль, що роблять правила на запит і яку родину адрес ви насправді перевірили.
Значок з'являється, програма поводиться так, ніби вона вдома, і очевидний висновок — тунель зламано. Зазвичай нічого не зламано. Значок повідомляє про одне з'єднання, тоді як питання за ним стосується охоплення, і це різні твердження.
Три умови визначають, яке твердження ви можете зробити. Доки їх не з'ясовано, будь-який результат тесту неоднозначний.
За одним значком ховаються три відповіді
Перше питання — що ви хотіли, щоб робив тунель. Доступ до внутрішньої вікі, приховування вашої адреси від стрімінгового сервісу й захист однієї керованої програми — це три різні вимоги, які задовольняють три різні профілі.
Друге — кому належить профіль. Особисто встановлена конфігурація поводиться інакше, ніж розгорнута системою керування, і лише друга може нести правила для окремих програм, які застосовує iOS. Значок не може розрізнити ці дві.
Третє — родина адрес, на якій ви стоїте. Тунель, що передає IPv4, тоді як мережа видає IPv6, залишає один шлях поза тунелем. Тест, який доходить лише до сайту IPv4, цього ніколи не побачить.
Профілі для окремих програм охоплюють лише свої програми
VPN для окремих програм — це випадок, що породжує найбільше хибних тривог. Профіль називає програми, трафік яких потрапляє в тунель, а все інше за задумом продовжує йти локальною мережею. Тому те, що ваша публічна адреса в браузері не змінюється, — очікувана поведінка, а не доказ збою. Ніщо в рядку стану цьому не суперечить.
Перевірте програму, для якої створено профіль, і перевірте її на ресурсі, що існує лише всередині. Успішний внутрішній запит із зазначеної програми описує робочу конфігурацію. Звичайна публічна адреса в Safari тоді описує профіль для окремих програм, що працює саме так, як налаштовано.
Правила на запит змінюють те, що ви спостерігаєте
Конфігурація на запит вирішує, коли встановлюється з'єднання, а не чи покрито трафік. Правило може підняти тунель, коли запитується певний домен, і опустити його, коли запит завершується, а отже, поява й зникнення значка під час звичайного використання — це робочий задум. Прочитайте правила, перш ніж тлумачити значок.
Така поведінка пояснює й результати, що протягом дня здаються непослідовними. Та сама програма може йти через тунель о десятій ранку й бути прямою опівдні, бо змінилася умова спрацювання, а не політика.
Одна перевірка не є доказом охоплення
Одна перевірка в браузері доводить, що один запит пройшов одним шляхом, і не більше. Вона нічого не каже про другу програму з власним мережевим стеком, про фонову синхронізацію, що відбулася до підняття тунелю, або про з'єднання, яке пережило зміну мережі, бо старий сокет так і не було відновлено. Ця прогалина — проблема обсягу, а не витік.
| Observation | Decide this first | Then test |
|---|---|---|
| Badge on, public address unchanged | Is the profile per-app? | The named internal app, not a browser |
| Badge flickers during the day | Are on-demand rules present? | Whether the flip follows a trigger domain |
| Internal app works, another fails | Is that app in the profile? | Its own settings and any proxy config |
| Nothing works while badge is on | Is this a path failure? | Name resolution and a known-good internal host |
Четвертий рядок — єдиний, що вказує на несправність. Підключений тунель із порушеним розв'язанням імен, відсутній зворотний маршрут або просто непрацюючий сервіс виглядають з погляду програми однаково.
Що записати перед ескалацією
Запишіть назву профілю, чи надійшов він із системи керування, чи є правила для окремих програм і точний час невдалого запиту. Додайте перевірену родину адрес і програму, з якої ви перевіряли. Жодне число на екрані не замінює цього списку. Цей запис відокремлює питання охоплення від збою за один прохід.
Тримайте в полі зору й основи безпеки. Тунель не замінює перевірку сертифікатів, захист облікового запису або дозволи пристрою. Значок поруч зі станом мережі не є доказом того, що щось із цього налаштовано, і саме так твердження про приватність будується на силі значка.
Огляд розгортання VPN від Apple описує типи профілів і поведінку на запит, що стоять за цими відмінностями. Прочитайте його, перш ніж сперечатися із системою керування про те, що має охоплювати профіль.