Per-app VPN v iOS: slaďte VPNUUID aplikace, ne PayloadUUID

Dvě hodnoty UUID rozhodují o tom, zda jedna spravovaná aplikace pro iPhone pojede tunelem per-app VPN, a ani jedna z nich není identifikátorem profilu, který je nese. Atribut VPNUUID aplikace se musí rovnat hodnotě VPNUUID uvnitř nálože per-app VPN. Nasazená aplikace musí být také spravovaná stejnou službou správy zařízení a příkaz, který odešlete, musí tento atribut skutečně nést. Projděte čtyři níže uvedené fáze v pořadí, protože každá z nich vytváří hodnotu, kterou potřebuje fáze následující.

Než se dotknete zařízení, shromážděte čtyři identifikátory

Zapište si čtyři hodnoty: identifikátor svazku z vašeho inventáře správy, identifikátor nálože per-app VPN, VPNUUID uvnitř této nálože a identifikátor příkazu, který se chystáte odeslat. Identifikátor svazku pojmenovává aplikaci, která nastavení přijímá, a popisek na domovské obrazovce ho nenahradí. Ponechte PayloadUUID úplně mimo tento seznam, protože označuje nálož uvnitř profilu a odpovídá na jinou otázku. Nahrazení jedné hodnoty druhou jen proto, že obě pole vypadají jako UUID, je nejčastější způsob, jak vytvořit asociaci, která nikdy nemůže sedět.

Pokud vám správce VPN nepředal nálož per-app VPN a její identifikátor, vyžádejte si je, místo abyste UUID vydolovali z nějakého nejbližšího konfiguračního souboru.

Aplikujte atribut přes kanál správy

Ověřte, že cílová aplikace je na daném zařízení spravovaná, protože známý identifikátor svazku nedělá z nespravované instalace kandidáta pro asociaci. Potom odešlete položku nastavení typu ApplicationAttributes prostřednictvím přiřazení per-app VPN ve vašem produktu nebo jeho podporované implementace příkazu Settings. Položka identifikuje aplikaci identifikátorem svazku a nese slovník Attributes, jehož VPNUUID odpovídá náloži. Nic v této položce není úplná obálka příkazu a nic v ní nelze ručně nainstalovat jako profil.

K odstraňování přistupujte stejně záměrně jako k instalaci. Schéma říká, že vynechání slovníku Attributes odstraní stávající atributy aplikace, takže z poloviny sestavená aktualizace se tiše změní na reset. Podobně pojmenovaný příkaz Managed Application Attributes čte atributy zpět kvůli ověření; nenastavuje je, a jeho použití jako setteru je promarněné okno nasazení.

Čtěte výsledek příkazu, ne ikonu aplikace

Zkontrolujte potvrzení příkazu, který jste odeslali, a ověřte, že spravovaná aplikace nyní hlásí tento atribut. Odznak VPN ve stavovém řádku jen říká, že někde v telefonu existuje tunel. Nemůže vám říct, že právě tato aplikace je přiřazena ke konfiguraci per-app VPN, a na zařízení, kde se tunel otevírá na vyžádání, se odznak nemusí objevit vůbec. Porovnávejte identifikátory v přiřazení, místo abyste hledali vizuální stopu.

Pokud na stejné flotile existují dvě konfigurace per-app VPN, porovnejte jejich identifikátory, než předpokládáte, že vaše přiřazení přistálo v té zamýšlené.

Otestujte to na prostředku a pak dvojici zaznamenejte

Nechte oprávněného uživatele otevřít soukromý prostředek z přiřazené aplikace a sledujte, zda se pro něj tunel per-app VPN zvedne. Potom totéž zopakujte z nespravované aplikace na stejném telefonu a ověřte, že zacházení se liší. Právě ten kontrast je skutečný test, protože fungující soukromý prostředek mohl být dosažen i tunelem pro celé zařízení, o kterém nikdo v záznamu o změně nemluvil. Výsledek zaznamenejte, dokud máte zařízení před sebou.

Uložte identifikátor svazku, identifikátor nálože, sdílený VPNUUID a výsledek příkazu pohromadě, aby příští vyšetřování začínalo od stejných čtyř hodnot, ne od paměti.

Vraťte to zpět bez vedlejších škod

Chcete-li přiřazení odebrat, odešlete atribut aplikace znovu s prázdným slovníkem Attributes ve formě, kterou váš produkt dokumentuje, místo abyste aplikaci z příkazu vyřadili. Poté ověřte, že aplikace už neotevírá tunel per-app VPN a že ostatní spravované aplikace si své tunele udržely. Pokud má stejný telefon také profil VPN pro celé zařízení, ověřte, že se chová jako před návratem, protože právě u dvou konfigurací VPN v jednom zařízení se tento krok obvykle pokazí. Pak aktualizujte záznam, který jste si vedli.

Audit, který se bude ptát, proč byla určitá aplikace vůbec tunelovaná, bude chtít dvojici UUID a datum, ne popis nasazení.