Overvåget iPhone og VPN-indstillinger: hvad der faktisk ændrer sig
Gå gennem skærmen Enhedsstyring, læs den profil, der ejer tunnelen, og find ud af, hvilke iOS VPN-indstillinger der kun vises på en overvåget enhed.
Åbn Indstillinger, derefter Generelt, derefter VPN & Enhedsstyring, og læs, hvad telefonen siger om sig selv. Enheder, der er tilmeldt via Apple Business Manager eller Apple School Manager, angiver deres organisation på den skærm, og den ene linje forklarer mere om VPN-indstillingerne, end de fleste konfigurationsvejledninger gør. Overvågning er en styringstilstand, ikke en VPN-funktion, og den ændrer, hvilke kontakter der findes, snarere end hvilken server der kan nås. At læse tilstanden først sparer en tur gennem tre undermenuer på jagt efter en kontakt, der aldrig ville dukke op.
Start der, hvor telefonen rapporterer sin styringstilstand
Den skærm viser alle konfigurationsprofiler, der er installeret på enheden, grupperet efter den organisation, der leverede dem. En profil med en VPN-nyttelast er det objekt, der ejer tunneldefinitionen: dens serveradresse, dens godkendelsesmetode, dens regler for aktivering efter behov og hvorvidt brugeren må redigere eller fjerne den.
Hvis listen er tom bortset fra en app, du selv har installeret, er telefonen ikke styret i den betydning, denne artikel mener. En VPN-klient fra App Store opretter sine egne indstillinger via en systemudvidelse, og uanset hvor meget du søger i profillisten, finder du ingen organisationspolitik, fordi der ikke findes nogen på den enhed.
Læs profilen, før du ændrer nogen kontakt
Tryk på profilnavnet, og læs nyttelastoversigten, før du rører ved noget. Den angiver forbindelsestypen, serveren og ofte, om profilen kan fjernes. De tre fakta fortæller, hvem der kan ændre adfærden, og hvor rettelsen hører hjemme. Kontakten til/fra under VPN-rækken ændrer ikke profilen, og det næste styringstjek kan sætte tilstanden præcis tilbage, hvor organisationen vil have den.
En profil, der er markeret som ikke-fjernbar, er en administrativ beslutning udtrykt som en enhedsbegrænsning, ikke en fejl, man skal omgå.
Hvorfor nogle VPN-kontakter mangler
Aktivering efter behov, tunnellering for hver app og adfærd kun med IKEv2 ligger bag styrings-API'er, og flere af dem kræver overvågning såvel som styring. En personlig telefon med en manuelt installeret klient viser simpelthen ikke disse kontroller, og deres fravær er ikke bevis på en ødelagt app eller en forældet iOS-version. Samme iOS-version viser forskellige valgmuligheder på to enheder, fordi enhederne er i forskellige tilstande.
Tilmeldingsmetoden afgør den tilstand. Automatisk enhedstilmelding via Apple Business Manager eller Apple School Manager giver en overvåget enhed; en manuelt installeret profil gør ikke, heller ikke selv om den samme MDM-server leverede den.
Hvad overvågning tilføjer, og hvad den stadig ikke kan
Overvågning hæver loftet for, hvad en organisation må håndhæve, i stedet for at ændre selve tunnelen. Den muliggør ikke-fjernbare profiler, yderligere begrænsninger og administreret tunnellering på app-niveau, og den er grunden til, at en enhed kan pålægges at holde en VPN aktiv i stedet for at tilbyde valget. Apples udrulningsvejledning beskriver tilmelding og styring som vejen til disse muligheder.
Den gør ikke en bestemt VPN-udbyder troværdig, og den forvandler ikke et dårligt udstedt certifikat til en fungerende forbindelse. Overvågning er en erklæring om, hvem der må konfigurere enheden, ikke et kvalitetsmærke på den tjeneste, der oprettes forbindelse til.
| What the phone shows | What it means for the tunnel |
|---|---|
| Profile from an organization with a VPN payload | The organization defines the connection and may reapply it |
| No organization profile, client installed from the App Store | Personal configuration, no supervision involved |
| Organization named on the management screen with enforced settings | Supervised enrolment; removal and editing are restricted |
Versionsforskelle betyder også noget her: en kontrol, der dukker op i den nyeste version, er muligvis kun dokumenteret for overvågede enheder, og en enhed to hovedversioner bagud er ikke reference for, hvordan indstillingen bør se ud.
Forlad enheden ad den understøttede vej
Når enheden ikke længere skal styres, eller når en profil indeholder en fejl, hører rettelsen til administratorens nedluknings- eller genudstedelsesproces. Sletning af telefonen frigør den ikke nødvendigvis fra en automatisk tilmeldingsopgave, så enheden kan vende tilbage konfigureret og overvåget efter en nulstilling.
Registrér gendannelsesoplysningerne før enhver autoriseret nulstilling, og forvent, at fjernelse af en profil tager mere end VPN med sig: certifikater, Wi-Fi-legitimationsoplysninger og begrænsninger rejser normalt sammen. At beslutte at beholde en fungerende tunnel er lettere end at genopbygge den bagefter.