iPhone 的 VPN 要一直开着吗？两个要求说了算

两个人整天开着同一个 VPN 配置文件，得到的价值却不同。一个不假思索就进入了私有办公应用；另一个维持个人隧道，更多只是出于习惯。两人在状态栏看到同一个指示，而那个指示是两种安排唯一共同的东西。

决定不在于长期在线是否让人更有安全感。而在于你为哪一项要求付费、网关不可达时客户端会怎么做，以及所选运营商能看到你多少流量。把这三件事答清楚，那个开关就不再是口味问题。

两件事共用一个图标

第一件事是访问：一组特定的私有资源，应当在打开应用时、无论你在哪里都能到达。第二件事是覆盖：本来会经过陌生网络的流量，应当改从一个你信任的服务出去。

两者指向不同的配置。访问想要仍然有效的最窄范围，因为为单个内部应用开整条隧道，会把其他一切都送进一条从未为此设计的网络。覆盖想要你能容忍的最宽范围，因为只承载部分应用的隧道，会把其余部分暴露在你正好担心的那张网上。大多数配置错误的手机最后混成了两者，所以必须先说清要求，再选配置文件。

Requirement	What you are buying	What to check
Private work access	Reachability of approved services	Per-app or on-demand scope, and what happens outside it
Covered browsing	A trusted exit for everyday traffic	Traffic scope, reconnect behaviour and blocking policy

如果目标是到达内部应用，有用的问题是隧道何时激活，而不是它是否一直开着。受管理的按应用配置只把该应用的流量送过网关，让个人浏览走普通路径、工作流量走已批准的路径。这是与整条隧道不同的控制形态，也改变了那个指示的含义。按应用范围下，图标可以不出现，而工作应用照样连上它的服务。

那个范围是部署方的策略决定，不是你能从应用行为里推断的个人偏好。客户端的设置界面并不总是显示平台多种机制中哪一种在生效，标签的重叠方式还会误导人。

Apple 的文档区分了条件激活、按应用选择，以及受管理的始终在线行为。第三方客户端的自动连接开关本身不属于其中任何一类，所以听起来等价的标签不该被读成受管理特性的承诺。

实际检验是：在故意关掉隧道的情况下，向一个你确知是内部的服务发请求。如果成功了，隧道就不是你以为的那个控制，剩下的配置在依赖之前值得再看一眼。

如果目标是在陌生网络上的覆盖，产品里真正有意思的部分不是连接，而是断连。两个都会自动连接的客户端，在网关拒绝或网络封锁的那一刻，表现可以完全不同。

阻断策略让被覆盖的流量在隧道无法建立期间不可用。这是最强的覆盖，也是打扰最大的：一次故障变成你的故障，一个强制门户变成一堵墙，让你到不了那个本该放你过去的页面。

回退策略让你保持在线，代价是让流量走普通路径。它更好用，按定义也更弱，因为隧道失败的那一刻，正是流量经由你所在的网络明文出去的那一刻。流量照旧出去，而且是从你不信任的那张网出去。这就是交换，不加营销地说。

两者都没有错，错的是在旅途中才发现自己买的是哪一种。在家试一次：关掉隧道的连接能力，再看页面能不能打开。这一个实验，比服务商营销页面上的任何描述都更能说明问题。

把流量交给一家运营商，就等于让它在你的连接路径上占了一个位置。它不会让访问的站点变得可信，也不能替代 HTTPS、账号安全，或者你安装哪些配置文件的谨慎。在运营商网络里终止的隧道，改变的是谁能观察到什么，而不是把问题取消。

本地网络也一样。VPN 能让你的流量避开酒店的接入网，却挡不住那张网封锁隧道本身，或者在隧道建立之前干扰域名解析。

性能与耗电属于同一类诚实观察。指示上并不附带固定惩罚；网关选的路由、接入网质量、流量大小和重连频率都会推动那个数字。在同样用法下比较两种配置，才是唯一有意义的测量。

在个人手机上，选与你的要求相符的行为，并把接受的失败策略写下来。如果选了带阻断的覆盖，就留一条从别的设备访问运营商状态页的路；如果选了回退，就要知道隧道的失败按设计是无声的。

在受管理的工作手机上，答案是管理员的策略，缺少暂停控制通常是刻意的，而不是可以绕开的疏忽。走正常渠道申请例外，比找一个下次配置文件更新就会删掉的旁路更快。

无论哪种，目的改变时就重新审视这个决定。为单个内部应用配置的隧道，不适合作全天浏览覆盖；而为单个应用保留的整条隧道配置，会悄悄搬走大量你从未打算交出去的流量。