iOS und Android

• Keine CLI und nichts zu verwalten. Die sxaccess-Befehle gibt es auf einem Smartphone nicht; alles läuft über die App. Ein Smartphone registriert sich über die Anmeldung; eine Option für Registrierungsschlüssel gibt es nicht.
• Der Tunnel läuft außerhalb der App. iOS betreibt ihn in der Packet-Tunnel-Erweiterung von SXAccess, Android in einem VPN-Dienst. Er läuft deshalb weiter, wenn Sie die App verlassen oder das System sie schließt. VPN On Demand (iOS) oder Always-on VPN (Android) baut ihn nach einem Neustart oder Netzwechsel wieder auf, ohne dass Sie die App öffnen. Ist dafür eine neue Anmeldung nötig, bittet Android Sie per Benachrichtigung, SXAccess zu öffnen.
• Ein Konto pro Smartphone. Ein Smartphone bleibt an das Konto gebunden, mit dem es registriert wurde; die Anmeldung mit einem anderen Konto schlägt fehl. Auf einem iPhone setzt eine Neuinstallation von SXAccess die Einrichtung zurück, sodass sich ein anderes Konto anmelden kann.

Leitet Ihre Organisation Internetverkehr über ein Internet-Gateway, erscheint das Gateway als eigene Zeile unter Resources, als Internet-Gateway gekennzeichnet und von Anfang an eingeschaltet. Solange es eingeschaltet ist, geht der IPv4-Internetverkehr des Smartphones über ein Gerät Ihrer Organisation ins Internet, mit dessen öffentlicher Adresse als Absender. IPv6-Internetverkehr funktioniert in dieser Zeit nicht; Netze, die für Sie freigegeben sind, behalten ihre eigenen Routen.

Zum Ausschalten ist keine Bestätigung nötig: Ihr Internetverkehr läuft dann wieder über die eigene Verbindung des Smartphones. Um das Gateway wieder zu nutzen, verbinden Sie sich zuerst, tippen dann auf seinen Schalter und bestätigen. Select all schaltet nie ein Gateway ein.

• iPhone: Die App fragt Route all traffic through …? mit dem Namen des Gateways; wählen Sie Route all traffic oder Cancel. Mehrere Gateways können gleichzeitig eingeschaltet sein. Die Rückfrage weist auch darauf hin, dass IPv6-Internet in dieser Zeit nicht unterstützt wird. Außerdem warnt sie, dass das VPN beim Wechsel zwischen WLAN und Mobilfunk stoppen kann; mit eingeschaltetem VPN On Demand baut iOS es von selbst wieder auf.
• Android: Die App fragt Use … for Internet traffic? mit dem Namen des Gateways; wählen Sie Enable Internet Gateway oder Cancel. Es ist immer nur ein Gateway eingeschaltet: Schalten Sie eines ein, schaltet die App die anderen aus. IPv6-Internetverkehr ist gesperrt, solange ein Gateway eingeschaltet ist. Außerdem muss „Privates DNS“ ausgeschaltet sein (Einstellungen → Netzwerk & Internet → Privates DNS); bis dahin weist die App darauf hin, und das Gateway kann nicht starten.

Zur Kontrolle öffnen Sie eine beliebige Website, die Ihre öffentliche Adresse anzeigt: Sie sollte die Adresse des Gateways zeigen, nicht Ihre eigene. Wie Administratoren ein Gateway einrichten, beschreibt Internetverkehr über ein eigenes Gateway.

Die Organisationsschaltfläche oben im Tab Shield erscheint, wenn Ihr Konto mehreren Organisationen angehört, und lässt sich öffnen, solange das Smartphone verbunden ist. Tippen Sie darauf, um Ihre Organisationen zu sehen. Bei einer Organisation mit dem Hinweis Enrolled here · no sign-in needed handelt es sich um einen Wechsel: Das Smartphone behält dort seine Geräteidentität, und es öffnet sich kein Browser. Bei einer mit Not enrolled here · joining is a new enrolment handelt es sich um einen Beitritt: Das Smartphone erhält in dieser Organisation eine neue Geräteidentität, und der Browser öffnet sich, falls Ihre Anmeldung abgelaufen ist. In beiden Fällen bittet die App Sie zuerst um eine Bestätigung. Siehe Organisationen anlegen und wechseln.

Verlangt eine Organisation Zwei-Faktor-Authentifizierung und enthielt Ihre Anmeldung keinen zweiten Faktor, fragt die App an Ort und Stelle danach (Confirm it is you). Das kann ein Code aus Ihrer Authenticator-App sein, ein per E-Mail gesendeter Code oder ein Sicherheitsschlüssel. Auf einem iPhone akzeptiert der Schritt für den Sicherheitsschlüssel auch einen Passkey, unter Android einen NFC- oder USB-Schlüssel oder die Displaysperre des Smartphones. Haben Sie noch keinen Faktor eingerichtet, können Sie das auf demselben Bildschirm tun. Back to where I was (auf einem iPhone Cancel) kehrt zu der Organisation zurück, in der Sie zuvor waren. Siehe Zwei-Faktor und Passkeys.

Auf einem iPhone:

• VPN On Demand: Connect automatically, mit Regeln für WLAN (Always, Only on selected networks, Except on selected networks oder Never) und für Mobilfunk (Always oder Never). Die Funktion ist ausgeschaltet, bis Sie sie einschalten.
• Advanced: Pre-shared key, wo Sie einen Schlüssel festlegen oder entfernen; Enable Lazy Connect on this device (ist der Schalter aus, gilt die Einstellung Connect on demand Ihrer Organisation); Log level, View logs und Share logs.
• Appearance: System, Light oder Dark.

Unter Android:

• Automatic connection: Android verbindet SXAccess automatisch über seine eigene Einstellung „Durchgehend aktives VPN“ (Always-on VPN). Wählen Sie Open system VPN settings, tippen Sie auf das Zahnrad neben SXAccess und schalten Sie „Durchgehend aktives VPN“ ein. „Verbindungen ohne VPN blockieren“ schützt zusätzlich; läuft Ihre Sitzung ab, müssen Sie diese Option aber unter Umständen kurz ausschalten, um sich erneut anzumelden.
• Advanced: Pre-shared key, wo Sie einen Schlüssel festlegen oder entfernen, und Enable on this device für Connect on demand. Dazu kommen Disable client routes, Disable server routes und Disable DNS sowie Block inbound connections und Disable firewall. Für die Logs gibt es Capture logs (aus, bis Sie es einschalten), Verbose logging, View logs, Share logs und Clear logs. Hostnamen, Netzwerkadressen, Schlüssel und Token werden entfernt, bevor eine Logzeile geschrieben wird.

Ein Gerät mit einem Pre-Shared Key verbindet sich nur mit Geräten, die denselben Schlüssel nutzen; legen Sie deshalb nur dann einen fest, wenn Ihre Administration Sie darum bittet. Die meisten Änderungen unter Advanced gelten ab der nächsten Verbindung, und die App bietet an, die Verbindung neu aufzubauen.