iPhone пад наглядам і налады VPN: што насамрэч змяняецца
Прайдзіце па экране «Кіраванне прыладай», прачытайце профіль, які валодае тунелем, і даведайцеся, якія параметры VPN у iOS з'яўляюцца толькі на прыладзе пад наглядам.
Адкрыйце «Налады», затым «Агульныя», затым «VPN і кіраванне прыладай» і прачытайце, што тэлефон кажа пра сябе. Прылады, зарэгістраваныя праз Apple Business Manager або Apple School Manager, паказваюць на гэтым экране сваю арганізацыю, і гэты адзін радок тлумачыць пра параметры VPN больш, чым большасць кіраўніцтваў па наладзе. Нагляд — гэта стан кіравання, а не функцыя VPN, і ён змяняе тое, якія пераключальнікі існуюць, а не тое, які сервер даступны. Чытанне стану спачатку пазбаўляе ад блукання па трох падменю ў пошуках пераключальніка, які ніколі не збіраўся з'явіцца.
Пачніце з таго, дзе тэлефон паведамляе стан кіравання
Гэты экран пералічвае ўсе профілі канфігурацыі, усталяваныя на прыладзе, згрупаваныя па арганізацыі, якая іх даставіла. Профіль з карыснай нагрузкай VPN — гэта аб'ект, які валодае вызначэннем тунеля: адрас яго сервера, метад аўтэнтыфікацыі, правілы па запатрабаванні і тое, ці можа карыстальнік рэдагаваць або выдаляць яго.
Калі спіс пусты, акрамя праграмы, якую вы ўсталявалі самі, тэлефон не кіруецца ў тым сэнсе, які мае на ўвазе гэты артыкул. Кліент VPN з App Store стварае ўласныя налады праз сістэмнае пашырэнне, і ніякія пошукі ў спісе профіляў не дадуць арганізацыйнай палітыкі, бо на гэтай прыладзе яе няма.
Прачытайце профіль, перш чым змяняць любы пераключальнік
Дакраніцеся да назвы профілю і прачытайце зводку карыснай нагрузкі, перш чым што-небудзь чапаць. Там указаны тып злучэння, сервер і часта тое, ці можна выдаліць профіль. Гэтыя тры факты кажуць, хто можа змяніць паводзіны і дзе месца выпраўлення. Змена пераключальніка ўключэння/выключэння пад радком VPN не змяняе профіль, і наступная праверка кіравання можа вярнуць стан дакладна туды, дзе арганізацыя жадае.
Профіль, пазначаны як незамяняльны, — гэта адміністрацыйнае рашэнне, выказанае як абмежаванне прылады, а не памылка, якую трэба абыходзіць.
Чаму некаторыя пераключальнікі VPN адсутнічаюць
Актвацыя па запатрабаванні, тунеляванне для кожнай праграмы і паводзіны толькі праз IKEv2 знаходзяцца за API кіравання, і некаторыя з іх патрабуюць нагляду разам з кіраваннем. Асабісты тэлефон з уручную ўсталяваным кліентам проста не паказвае гэтыя элементы, і іх адсутнасць не з'яўляецца доказам зламанай праграмы або састарэлай версіі iOS. Адзін і той жа выпуск iOS паказвае розныя параметры на дзвюх прыладах, бо прылады знаходзяцца ў розных станах.
Метад рэгістрацыі вызначае гэты стан. Аўтаматычная рэгістрацыя прылад праз Apple Business Manager або Apple School Manager стварае прыладу пад наглядам; уручную ўсталяваны профіль — не, нават калі яго даставіў той жа сервер MDM.
Што дадае нагляд і што ён па-ранейшаму не можа
Нагляд павышае столь таго, што арганізацыя можа прадпісаць, а не змяняе сам тунель. Ён дазваляе незамяняльныя профілі, дадатковыя абмежаванні і кіраванае тунеляванне на ўзроўні праграм, і менавіта таму прыладу можна абавязаць трымаць VPN актыўным замест таго, каб прапаноўваць гэты варыянт. Кіраўніцтва Apple па разгортванні апісвае рэгістрацыю і кіраванне як шлях да гэтых магчымасцей.
Ён не робіць канкрэтнага аператара VPN надзейным і не ператварае дрэнна выдадзены сертыфікат у працоўнае злучэнне. Нагляд — гэта сцвярджэнне пра тое, хто можа наладжваць прыладу, а не знак якасці паслугі, да якой ідзе злучэнне.
| What the phone shows | What it means for the tunnel |
|---|---|
| Profile from an organization with a VPN payload | The organization defines the connection and may reapply it |
| No organization profile, client installed from the App Store | Personal configuration, no supervision involved |
| Organization named on the management screen with enforced settings | Supervised enrolment; removal and editing are restricted |
Розніца версій тут таксама мае значэнне: элемент кіравання, які з'явіўся ў найноўшым выпуску, можа быць апісаны толькі для прылад пад наглядам, і прылада, якая адстае на дзве асноўныя версіі, не з'яўляецца эталонам таго, як павінна выглядаць налада.
Выйсці праз падтрымліваемы шлях
Калі прылада павінна перастаць кіравацца, або калі профіль змяшчае памылку, выпраўленне належыць працэсу спынення эксплуатацыі або перавыдання адміністратара. Сціранне тэлефона не абавязкова вызваляе яго ад прызначэння аўтаматычнай рэгістрацыі, таму пасля скіду прылада можа вярнуцца наладжанай і пад наглядам.
Захавайце інфармацыю для аднаўлення перад любым дазволеным скідам і чакайце, што выдаленне профілю забярэ з сабой больш, чым VPN: сертыфікаты, даныя Wi-Fi і абмежаванні звычайна ідуць разам. Вырашыць захаваць працоўны тунель лягчэй, чым потым яго аднаўляць.