iPhone beder om at tillade VPN-konfiguration: tjek, før du trykker

Du trykkede på noget i en VPN-app, og iOS svarede med en dialog, du ikke forventede: appen vil gerne tilføje VPN-konfigurationer, med “Tillad ikke” og “Tillad” nedenunder. Den dialog er systemets routingtilladelse, og den vises én gang for hver konfiguration, appen forsøger at installere. Tillad den, når du åbnede appen og havde tænkt dig at forbinde; tryk “Tillad ikke”, når anmodningen kom, mens du lavede noget andet, og find så ud af, hvad der fik den på skærmen. Intet i formuleringen fortæller dig om udbyderen fortjener tillid — den registrerer kun, at iOS er ved at overlade en del af netværksstakken til denne app.

Hvad iOS beder dig om at godkende

En almindelig app kan ikke røre pakkestien. En VPN-klient skal være bygget på Apples NetworkExtension-framework og signeret med Personal VPN-rettigheden; når den vil have en tunnel, opretter den et konfigurationsobjekt og beder systemet gemme det, og netop det kald rejser dialogen. Formuleringen skifter mellem versioner — nyere siger tilføj VPN-konfigurationer, ældre siger tilføj en VPN-konfiguration — men betydningen er fast: en app, du har installeret, vil have en permanent post i Indstillinger > Generelt > VPN og enhedsstyring.

Posten er permanent af design. Den overlever appnedbrud og genstart, den kan genoprette forbindelse, mens appen er lukket, og den kan bære regler for forbindelse efter behov, der rejser tunnelen, når du kommer på et netværk. Det er netop derfor, iOS spørger i stedet for bare at gøre det, og derfor gemmes svaret i stedet for at blive spurgt igen ved hver forbindelse.

Læs dialogen, før du trykker “Tillad”

Behandl dialogen som en påstand, du kan tjekke på få sekunder. Stop ved det første punkt, der ikke holder.

• Navnet i dialogen svarer til en app, du har installeret. En dialog, der tilskrives noget, du ikke genkender, er en grund til at trykke “Tillad ikke” og lede videre, ikke noget at afprøve.
• Du var inde i den app, da den dukkede op. Første opsætning og forbind-knapper er de normale udløsere.
• Appen er ikke lige blevet opdateret eller geninstalleret uden dig. En ny version kan tilføje en konfiguration og spørge igen.
• Ingen beder om dit Apple ID, et kortnummer eller en kode fra en besked. VPN-dialogen vil aldrig have de ting, så en dialog, der gør, er en anden dialog.

Når alle fire holder, er “Tillad” et rimeligt svar for en udbyder, du bevidst har valgt. Hvis du er i tvivl, tryk “Tillad ikke”; appen spørger igen næste gang, den gemmer, og du mister intet ved at vente en time.

Bekræft konfigurationen, efter du har tilladt

Godkendelsen starter kontrollen, den afslutter den ikke. Åbn Indstillinger > Generelt > VPN og enhedsstyring, og se på VPN-blokken. Du bør se én række opkaldt efter appen eller den profil, den installerede, med en statuslinje og en informationsknap. Tryk på den knap for at læse serveradressen, kontonavnet hvis der er et, og om “Forbind efter behov” er slået til.

Afgør så, hvis række det er. En personlig VPN, du har oprettet fra en app, er din at redigere og slette; en række, der siger, at en organisation styrer den, er ikke, og dens fjernelse går gennem den, der tilmeldte enheden. At se begge betyder, at to forskellige myndigheder deler enheden, og du bør vide, hvilken der lige nu bærer din trafik.

Sidste trin: forbind én gang, og bekræft at trafikken virkelig følger tunnelen. Indlæs en side, der viser din offentlige adresse, og tjek, at adressen tilhører udbyderen, ikke din hjemmeforbindelse. Hvis rækken siger “Forbundet”, og adressen ikke har ændret sig, er konfigurationen installeret, men router ikke, og rettelsen ligger i indstillingerne på den informationsskærm, ikke i appen.

Hvad godkendelsen dækker, og hvad den ikke gør

At tillade giver appen mulighed for at route trafik under sin konfiguration. Det er en stor tilladelse i den ene retning og en snæver i den anden. Appen kan sende dine pakker gennem sine servere og kan se de metadata, der hænger ved dem: hvilke adresser du kontaktede, hvornår, og hvor meget der flyttede sig. Den kan ikke læse indersiden af en HTTPS-session, og den får ikke dine billeder, beskeder, mikrofon eller dit Apple ID.

Dækningen er også smallere end “alt”. En konfiguration kan route al trafik eller kun nogle destinationer, og tunellering for hver app — hvor kun navngivne apps bruger tunnelen — tilrettelægges af en enhedsadministrator, ikke ved at trykke “Tillad”. iOS holder kun én personlig VPN-forbindelse aktiv ad gangen, selv når flere konfigurationer er listet, så en anden app kan ikke stille overtage fra den første, mens den er forbundet.

Tilbagekald den ordentligt, når du holder op med at bruge tjenesten

At slette appen er ikke en pålidelig måde at fjerne konfigurationen. Tjek VPN-listen selv, og slet rækken fra dens informationsskærm, hvis den stadig er der. På en enhed, du udfaser, skal du også gøre konto-siden: log ud i udbyderens kontrolpanel eller tilbagekald enheden der, for en slettet lokal række gør intet ved en session, som serveren stadig anser for gyldig.

Administrerede enheder er undtagelsen. Når rækken siger, at en organisation installerede den, mislykkes en lokal sletning enten eller rulles tilbage ved næste check-in, og kun organisationens egen fjernelsesproces holder.

Når dialogen bliver ved med at komme igen

En gentagen dialog betyder normalt, at konfigurationen oprettes igen, ikke at den første godkendelse mislykkedes. De almindelige årsager: appen skriver en ny konfiguration ved hver start, og iOS behandler den som ny, en regel for forbindelse efter behov har tabt den gamle post, en profil er geninstalleret af en enhedsadministrator, eller der findes flere konfigurationer, og appen spørger til en, du aldrig lagde mærke til.

Tæl rækkerne først. Hvis listen vokser, hver gang du åbner appen, genbruger appen ikke sin konfiguration, og rettelsen hører til udvikleren eller til en ren geninstallation. Hvis listen bliver på én, og dialogen stadig vender tilbage, så se efter en styringsprofil, der geninstallerer den — det er et politikspørgsmål, ikke en fejl, du kan trykke væk.

Før du går videre, skal du bekræfte tre ting: rækken i Indstillinger er den, du godkendte, adressen, du ser, mens du er forbundet, tilhører udbyderen, og konto-siden er tilbagekaldt, hvis du er færdig med tjenesten. De tre dækker, hvad dialogen gav, hvad den gør nu, og hvad den vil blive ved med at gøre, efter enheden forlader dine hænder.