إعدادات iPhone وVPN الخاضعة للإشراف: ما الذي يتغيّر فعلاً
تنقّل في شاشة إدارة الأجهزة، واقرأ الملف التعريفي الذي يملك النفق، وتعرّف على خيارات VPN في iOS التي لا تظهر إلا على جهاز خاضع للإشراف.
افتح الإعدادات، ثم عام، ثم VPN وإدارة الأجهزة، واقرأ ما يقوله الهاتف عن نفسه. الأجهزة المسجّلة عبر Apple Business Manager أو Apple School Manager تُظهر مؤسستها على تلك الشاشة، وهذا السطر الواحد يفسّر عن خيارات VPN أكثر مما تفعله معظم أدلة الإعداد. الإشراف حالة إدارة، وليس ميزة في VPN، وهو يغيّر المفاتيح الموجودة بدلاً من الخادم الذي يمكن الوصول إليه. وقراءة الحالة أولاً توفّر عليك التجوّل في ثلاث قوائم فرعية بحثاً عن مفتاح لم يكن سيظهر أبداً.
ابدأ من حيث يعلن الهاتف حالة إدارته
تسرد تلك الشاشة كل ملف تعريفي مُثبَّت على الجهاز، مجمّعاً حسب المؤسسة التي أوصلته. والملف الذي يحمل حمولة VPN هو العنصر الذي يملك تعريف النفق: عنوان خادمه، وطريقة مصادقته، وقواعد التفعيل عند الطلب، وما إذا كان المستخدم يستطيع تعديله أو إزالته.
إذا كانت القائمة فارغة باستثناء تطبيق ثبّتته بنفسك، فالهاتف ليس مُداراً بالمعنى الذي يقصده هذا المقال. فعميل VPN من App Store ينشئ إعداداته الخاصة عبر امتداد نظام، ولن يُنتج أي قدر من البحث في قائمة الملفات سياسة تنظيمية، لأنها غير موجودة على ذلك الجهاز.
اقرأ الملف قبل تغيير أي مفتاح
اضغط على اسم الملف واقرأ ملخص الحمولة قبل أن تلمس أي شيء. فهو يذكر نوع الاتصال والخادم، وغالباً ما إذا كان الملف قابلاً للإزالة. وهذه الحقائق الثلاث تخبرك مَن يستطيع تغيير السلوك وأين يقع التصحيح. وتغيير مفتاح التشغيل/الإيقاف تحت صف VPN لا يعدّل الملف، وقد يعيد فحص الإدارة التالي الحالة تماماً إلى حيث تريدها المؤسسة.
الملف المعلَّم كغير قابل للإزالة هو قرار إداري معبَّر عنه كقيد على الجهاز، وليس خللاً يجب التحايل عليه.
لماذا تغيب بعض مفاتيح VPN
التنشيط عند الطلب والنفق لكل تطبيق والسلوك المقتصر على IKEv2 تقع خلف واجهات إدارة البرامج، وكثير منها يتطلب الإشراف إلى جانب الإدارة. والهاتف الشخصي الذي عليه عميل مثبّت يدوياً لا يعرض تلك العناصر ببساطة، وغيابها ليس دليلاً على تطبيق معطوب أو إصدار iOS قديم. فالإصدار نفسه من iOS يعرض خيارات مختلفة على جهازين لأن الجهازين في حالتين مختلفتين.
طريقة التسجيل تحدّد تلك الحالة. فالتسجيل الآلي للأجهزة عبر Apple Business Manager أو Apple School Manager ينتج جهازاً خاضعاً للإشراف؛ أما الملف المثبّت يدوياً فلا يفعل ذلك، حتى عندما يوصله خادم MDM نفسه.
ما يضيفه الإشراف وما يظل عاجزاً عن فعله
يرفع الإشراف السقف لما يمكن للمؤسسة فرضه بدلاً من تغيير النفق نفسه. فهو يمكّن من الملفات غير القابلة للإزالة وقيود إضافية والنفق المُدار على مستوى التطبيق، وهو السبب في إمكانية إلزام جهاز بإبقاء VPN نشطاً بدلاً من عرض الخيار. ويصف دليل نشر Apple التسجيل والإدارة كطريق إلى تلك القدرات.
وهو لا يجعل مشغّل VPN معيناً موثوقاً، ولا يحوّل شهادة أُصدرت بشكل سيئ إلى اتصال عامل. فالإشراف بيان عمّن يجوز له تهيئة الجهاز، وليس علامة جودة على الخدمة التي يُتصل بها.
| What the phone shows | What it means for the tunnel |
|---|---|
| Profile from an organization with a VPN payload | The organization defines the connection and may reapply it |
| No organization profile, client installed from the App Store | Personal configuration, no supervision involved |
| Organization named on the management screen with enforced settings | Supervised enrolment; removal and editing are restricted |
فروق الإصدارات مهمة هنا أيضاً: عنصر تحكم يظهر في أحدث إصدار قد يكون موثّقاً للأجهزة الخاضعة للإشراف فقط، والجهاز المتأخر بإصدارين رئيسيين ليس المرجع لما ينبغي أن يبدو عليه الإعداد.
اخرج عبر المسار المدعوم
عندما ينبغي أن يتوقف إدارة الجهاز، أو عندما يحتوي ملف على خطأ، يكون التصحيح من نصيب عملية الإحالة إلى التقاعد أو إعادة الإصدار لدى المسؤول. ومحو الهاتف لا يعفيه بالضرورة من تعيين تسجيل تلقائي، لذا يمكن أن يعود الجهاز مهيَّأً وخاضعاً للإشراف بعد إعادة الضبط.
احفظ معلومات الاستعادة قبل أي إعادة ضبط مصرّح بها، وتوقّع أن تأخذ إزالة الملف أكثر من VPN معها: فالشهادات وبيانات Wi-Fi والقيود عادةً تسافر معاً. واتخاذ قرار بالاحتفاظ بنفق عامل أسهل من إعادة بنائه لاحقاً.