iPhone žádá o povolení konfigurace VPN: zkontrolujte, než klepnete

Klepli jste na něco v aplikaci VPN a iOS odpověděl dialogem, který jste nečekali: aplikace chce přidat konfigurace VPN a pod tím jsou „Nepovolit“ a „Povolit“. Tento dialog je systémové oprávnění ke směrování a zobrazuje se jednou pro každou konfiguraci, kterou se aplikace pokusí nainstalovat. Povolte ho, když jste aplikaci otevřeli a chtěli se připojit; klepněte na „Nepovolit“, když žádost přišla, zatímco jste dělali něco jiného, a pak zjistěte, co ji dostalo na obrazovku. Nic ve formulaci vám neříká zda si poskytovatel zaslouží důvěru — jen zaznamenává, že iOS předá část síťového zásobníku této aplikaci.

Co po vás iOS žádá, abyste schválili

Běžná aplikace nemůže sahat na cestu paketů. Klient VPN musí být postaven na frameworku NetworkExtension od Apple a podepsán s oprávněním Personal VPN; když chce tunel, vytvoří konfigurační objekt a požádá systém, aby ho uložil, a právě toto volání uložení vyvolá dialog. Formulace se mezi verzemi mění — novější říkají přidat konfigurace VPN, starší přidat konfiguraci VPN — ale význam je pevný: aplikace, kterou jste nainstalovali, chce trvalou položku v Nastavení > Obecné > VPN a správa zařízení.

Položka je trvalá už z návrhu. Přežije pády aplikace i restartování, může se znovu připojit, zatímco je aplikace zavřená, a může nést pravidla na vyžádání, která tunel zvednou, když se připojíte k síti. Právě proto se iOS ptá, místo aby to prostě udělal, a proto se odpověď ukládá, místo aby se znovu žádala při každém připojení.

Přečtěte si dialog, než klepnete na „Povolit“

Berte dialog jako tvrzení, které můžete za pár sekund ověřit. Zastavte se u první položky, která neprojde.

• Název v dialogu odpovídá aplikaci, kterou jste nainstalovali. Dialog připsaný něčemu, co nepoznáváte, je důvod klepnout na „Nepovolit“ a pátrat dál, ne věc k testování.
• Byli jste uvnitř této aplikace, když se objevil. Prvotní nastavení a tlačítka připojení jsou obvyklé spouštěče.
• Aplikace nebyla právě aktualizována ani přeinstalována bez vás. Nová verze může přidat konfiguraci a zeptat se znovu.
• Nikdo nechce vaše Apple ID, číslo karty ani kód ze zprávy. Dialog VPN to nikdy nechce, takže dialog, který to chce, je jiný dialog.

Když platí všechny čtyři body, „Povolit“ je rozumná odpověď pro poskytovatele, kterého jste si vybrali záměrně. Pokud si nejste jisti, klepněte na „Nepovolit“; aplikace se zeptá znovu, až bude příště ukládat, a čekáním hodiny nic neztratíte.

Ověřte konfiguraci poté, co povolíte

Schválení kontrolu spouští, ale nedokončuje. Otevřete Nastavení > Obecné > VPN a správa zařízení a podívejte se na blok VPN. Měli byste vidět jeden řádek pojmenovaný podle aplikace nebo profilu, který nainstalovala, se stavovým řádkem a tlačítkem informací. Klepněte na to tlačítko a přečtěte si adresu serveru, název účtu, pokud nějaký je, a zda je zapnuté „Připojit na vyžádání“.

Potom rozhodněte, čí ten řádek je. Osobní VPN, kterou jste vytvořili z aplikace, je vaše k úpravám a smazání; řádek, který říká, že ho spravuje organizace, takový není a jeho odstranění jde přes toho, kdo zařízení zapsal. Vidět oba znamená, že se o zařízení dělí dvě různé autority, a měli byste vědět, která z nich právě nese váš provoz.

Poslední krok: jednou se připojte a potvrďte, že provoz opravdu jde tunelem. Načtěte stránku, která ukazuje vaši veřejnou adresu, a ověřte, že adresa patří poskytovateli, ne vaší domácí lince. Pokud řádek říká „Připojeno“ a adresa se nezměnila, konfigurace je nainstalovaná, ale nesměruje, a oprava je v nastavení na té informační obrazovce, ne v aplikaci.

Co schválení pokrývá a co ne

Povolení dává aplikaci schopnost směrovat provoz podle její konfigurace. To je velké oprávnění jedním směrem a úzké druhým. Aplikace může posílat vaše pakety přes své servery a vidí metadata, která jsou k nim připojená: které adresy jste kontaktovali, kdy a kolik se přeneslo. Nemůže číst vnitřek relace HTTPS a nezíská vaše fotky, zprávy, mikrofon ani Apple ID.

Pokrytí je také užší než „všechno“. Konfigurace může směrovat veškerý provoz nebo jen některé cíle, a tunelování pro jednotlivé aplikace — kdy tunel používají jen pojmenované aplikace — zařizuje správce zařízení, ne klepnutí na „Povolit“. iOS drží aktivní vždy jen jedno osobní připojení VPN, i když je uvedeno několik konfigurací, takže druhá aplikace nemůže tiše převzít od první, dokud je připojená.

Odeberte ho správně, když přestanete službu používat

Smazání aplikace není spolehlivý způsob, jak konfiguraci odstranit. Projděte si seznam VPN sami a smažte řádek z jeho informační obrazovky, pokud tam ještě je. Na zařízení, které vyřazujete, udělejte i stranu účtu: odhlaste se v panelu poskytovatele nebo tam zařízení odeberte, protože smazaný místní řádek nic neudělá s relací, kterou server stále považuje za platnou.

Spravovaná zařízení jsou výjimkou. Když řádek říká, že ho nainstalovala organizace, místní smazání buď selže, nebo se při další kontrole vrátí, a udrží se jen vlastní proces odstranění organizace.

Když se dialog stále vrací

Opakovaný dialog obvykle znamená, že se konfigurace vytváří znovu, ne že první schválení selhalo. Běžné příčiny: aplikace zapisuje novou konfiguraci při každém spuštění a iOS ji považuje za novou, pravidlo na vyžádání zahodilo starou položku, profil přeinstaloval správce zařízení nebo existuje několik konfigurací a aplikace se ptá na tu, které jste si nikdy nevšimli.

Nejdřív spočítejte řádky. Pokud seznam roste pokaždé, když aplikaci otevřete, aplikace svou konfiguraci znovu nepoužívá a oprava patří vývojáři nebo čisté reinstalaci. Pokud seznam zůstává na jednom a dialog se přesto vrací, hledejte profil správy, který ho přeinstalovává — to je otázka politiky, ne chyba, kterou klepnutím odklidíte.

Než budete pokračovat, potvrďte tři věci: řádek v Nastavení je ten, který jste schválili, adresa, kterou vidíte při připojení, patří poskytovateli, a strana účtu je odebraná, pokud jste se službou skončili. Ty tři pokrývají, co dialog udělil, co dělá teď a co bude dělat dál poté, co zařízení opustí vaše ruce.