Biểu tượng VPN trên iPhone đang bật: nó bao phủ mọi ứng dụng hay chỉ hoạt động?
Một huy hiệu, ba tuyên bố khác nhau. Tách bạch những gì hồ sơ bao phủ, những gì quy tắc theo yêu cầu làm, và họ địa chỉ nào bạn thực sự đã kiểm tra.
Huy hiệu xuất hiện, ứng dụng vẫn hành xử như đang ở nhà, và kết luận hiển nhiên là đường hầm đã hỏng. Thường thì không có gì hỏng. Huy hiệu báo cáo một kết nối, trong khi câu hỏi phía sau là về phạm vi bao phủ, và đây là những tuyên bố khác nhau.
Ba điều kiện quyết định bạn có thể đưa ra tuyên bố nào. Cho đến khi chúng được làm rõ, mọi kết quả kiểm tra đều mơ hồ.
Ba câu trả lời ẩn sau một biểu tượng
Câu hỏi đầu tiên là bạn muốn đường hầm làm gì. Đến được một wiki nội bộ, giấu địa chỉ của bạn khỏi dịch vụ phát trực tuyến và bảo vệ một ứng dụng được quản lý là ba yêu cầu khác nhau mà ba hồ sơ khác nhau đáp ứng.
Câu thứ hai là hồ sơ thuộc về ai. Một cấu hình do cá nhân tự cài đặt hành xử khác với cấu hình do hệ thống quản lý đẩy xuống, và chỉ cái thứ hai mới có thể mang các quy tắc theo từng ứng dụng mà iOS thực thi. Huy hiệu không thể phân biệt hai loại đó.
Câu thứ ba là họ địa chỉ bạn đang đứng. Một đường hầm mang IPv4 trong khi mạng phân phát IPv6 để lộ một đường đi nằm ngoài đường hầm. Một bài kiểm tra chỉ đến được trang IPv4 sẽ không bao giờ thấy điều đó.
Hồ sơ theo ứng dụng chỉ bao phủ chính các ứng dụng của nó
VPN theo ứng dụng là trường hợp tạo ra nhiều báo động giả nhất. Hồ sơ nêu tên những ứng dụng có lưu lượng đi vào đường hầm, và mọi thứ khác tiếp tục trên mạng cục bộ theo thiết kế. Vì vậy việc địa chỉ công khai của bạn giữ nguyên trong trình duyệt là hành vi mong đợi, không phải bằng chứng thất bại. Không có gì trên thanh trạng thái mâu thuẫn với điều đó.
Hãy kiểm tra ứng dụng mà hồ sơ được tạo ra cho nó, và kiểm tra nó với một tài nguyên chỉ tồn tại bên trong. Một yêu cầu nội bộ thành công từ ứng dụng được nêu tên mô tả một cấu hình đang hoạt động. Sau đó một địa chỉ công khai bình thường trong Safari mô tả một hồ sơ theo ứng dụng hoạt động đúng như đã cấu hình.
Quy tắc theo yêu cầu thay đổi những gì bạn quan sát
Cấu hình theo yêu cầu quyết định khi nào một kết nối được thiết lập, chứ không phải liệu lưu lượng có được bao phủ hay không. Một quy tắc có thể dựng đường hầm lên khi một tên miền cụ thể được yêu cầu và hạ nó xuống khi yêu cầu kết thúc, nghĩa là huy hiệu xuất hiện và biến mất trong quá trình sử dụng thông thường chính là thiết kế đang hoạt động. Hãy đọc các quy tắc trước khi diễn giải huy hiệu.
Hành vi đó cũng giải thích những kết quả có vẻ không nhất quán trong ngày. Cùng một ứng dụng có thể đi qua đường hầm lúc mười giờ sáng và trực tiếp vào buổi trưa, vì điều kiện kích hoạt đã thay đổi chứ không phải chính sách.
Một lần thử không phải bằng chứng về phạm vi bao phủ
Một lần kiểm tra trên trình duyệt chứng minh rằng một yêu cầu đã đi theo một đường, và không hơn thế. Nó không nói gì về ứng dụng thứ hai có ngăn xếp mạng riêng, về đồng bộ nền đã chạy trước khi đường hầm dựng lên, hay về một kết nối sống sót qua thay đổi mạng vì ổ cắm cũ chưa bao giờ được thiết lập lại. Khoảng trống đó là vấn đề phạm vi, không phải rò rỉ.
| Observation | Decide this first | Then test |
|---|---|---|
| Badge on, public address unchanged | Is the profile per-app? | The named internal app, not a browser |
| Badge flickers during the day | Are on-demand rules present? | Whether the flip follows a trigger domain |
| Internal app works, another fails | Is that app in the profile? | Its own settings and any proxy config |
| Nothing works while badge is on | Is this a path failure? | Name resolution and a known-good internal host |
Hàng thứ tư là hàng duy nhất chỉ ra lỗi. Một đường hầm đã kết nối nhưng phân giải tên hỏng, thiếu tuyến quay về, hoặc một dịch vụ chỉ đơn giản là ngừng chạy đều trông giống nhau từ góc nhìn của ứng dụng.
Cần ghi lại gì trước khi báo cáo lên cấp trên
Ghi lại tên hồ sơ, liệu nó có đến từ hệ thống quản lý không, có quy tắc theo ứng dụng hay không, và thời điểm chính xác của yêu cầu thất bại. Thêm họ địa chỉ bạn đã kiểm tra và ứng dụng bạn đã kiểm tra từ đó. Không con số nào trên màn hình thay thế được danh sách đó. Bản ghi đó tách câu hỏi về phạm vi bao phủ khỏi một sự cố trong một vòng.
Cũng hãy để mắt tới các nguyên tắc bảo mật cơ bản. Đường hầm không thay thế việc xác thực chứng chỉ, bảo vệ tài khoản hay quyền của thiết bị. Một biểu tượng xuất hiện cạnh trạng thái mạng không phải bằng chứng rằng bất kỳ điều nào trong số đó đã được cấu hình, và xử lý nó theo cách đó chính là cách một tuyên bố về quyền riêng tư được dựng trên sức mạnh của một huy hiệu.
Tổng quan triển khai VPN của Apple mô tả các loại hồ sơ và hành vi theo yêu cầu đằng sau những khác biệt này. Hãy đọc nó trước khi tranh luận với hệ thống quản lý về những gì một hồ sơ nên bao phủ.