iPhone fragt nach VPN-Konfiguration: Prüfen Sie, bevor Sie tippen

Sie haben in einer VPN-App etwas angetippt, und iOS hat mit einem Dialog geantwortet, den Sie nicht erwartet hatten: Die App möchte VPN-Konfigurationen hinzufügen, darunter „Nicht erlauben“ und „Erlauben“. Dieser Dialog ist die Routing-Berechtigung des Systems, und er erscheint einmal pro Konfiguration, die die App zu installieren versucht. Erlauben Sie ihn, wenn Sie die App geöffnet haben und eine Verbindung herstellen wollten; tippen Sie auf „Nicht erlauben“, wenn die Anfrage kam, während Sie etwas anderes taten, und finden Sie dann heraus, was sie auf den Bildschirm gebracht hat. Nichts im Wortlaut sagt Ihnen, ob der Anbieter Vertrauen verdient — er hält nur fest, dass iOS einen Teil des Netzwerk-Stacks an diese App übergeben will.

Wozu iOS Sie hier um Zustimmung bittet

Eine gewöhnliche App kann den Paketpfad nicht anfassen. Ein VPN-Client muss auf Apples NetworkExtension-Framework aufbauen und mit der Personal-VPN-Berechtigung signiert sein; wenn er einen Tunnel möchte, erzeugt er ein Konfigurationsobjekt und bittet das System, es zu speichern, und genau dieser Aufruf löst den Dialog aus. Der Wortlaut wechselt zwischen Versionen — neuere sagen VPN-Konfigurationen hinzufügen, ältere sagen eine VPN-Konfiguration hinzufügen — aber die Bedeutung ist fest: Eine von Ihnen installierte App möchte einen dauerhaften Eintrag unter Einstellungen > Allgemein > VPN & Geräteverwaltung.

Der Eintrag ist konstruktiv dauerhaft. Er überlebt Abstürze und Neustarts der App, er kann erneut verbinden, während die App geschlossen ist, und er kann Regeln für die Verbindung auf Anforderung tragen, die den Tunnel aufbauen, sobald Sie einem Netzwerk beitreten. Genau deshalb fragt iOS, statt es einfach zu tun, und deshalb wird die Antwort gespeichert, statt bei jeder Verbindung erneut abgefragt zu werden.

Lesen Sie den Dialog, bevor Sie auf „Erlauben“ tippen

Behandeln Sie den Dialog als eine Behauptung, die Sie in wenigen Sekunden prüfen können. Halten Sie beim ersten Punkt an, der nicht stimmt.

• Der Name im Dialog entspricht einer App, die Sie installiert haben. Ein Dialog, der etwas zugeschrieben wird, das Sie nicht kennen, ist ein Grund, auf „Nicht erlauben“ zu tippen und weiterzusuchen, keine Sache zum Ausprobieren.
• Sie waren in dieser App, als er erschien. Ersteinrichtung und Verbindungsschaltflächen sind die üblichen Auslöser.
• Die App wurde nicht gerade ohne Ihr Zutun aktualisiert oder neu installiert. Eine neue Version kann eine Konfiguration hinzufügen und erneut fragen.
• Niemand fragt nach Ihrer Apple ID, einer Kartennummer oder einem Code aus einer Nachricht. Der VPN-Dialog will das nie, ein Dialog, der es will, ist also ein anderer Dialog.

Wenn alle vier Punkte zutreffen, ist „Erlauben“ eine vertretbare Antwort für einen Anbieter, den Sie bewusst gewählt haben. Wenn Sie unsicher sind, tippen Sie auf „Nicht erlauben“; die App fragt beim nächsten Speichern erneut, und Sie verlieren nichts, wenn Sie eine Stunde warten.

Prüfen Sie die Konfiguration, nachdem Sie erlaubt haben

Die Zustimmung beginnt die Prüfung, sie beendet sie nicht. Öffnen Sie Einstellungen > Allgemein > VPN & Geräteverwaltung und sehen Sie sich den VPN-Block an. Sie sollten eine Zeile sehen, die nach der App oder dem Profil benannt ist, das sie installiert hat, mit einer Statuszeile und einer Info-Schaltfläche. Tippen Sie auf diese Schaltfläche, um die Serveradresse, den Kontonamen, falls vorhanden, und ob „Verbinden auf Anforderung“ eingeschaltet ist, zu lesen.

Entscheiden Sie dann, wessen Zeile das ist. Ein persönliches VPN, das Sie aus einer App erstellt haben, gehört Ihnen zum Bearbeiten und Löschen; eine Zeile, die sagt, dass eine Organisation sie verwaltet, nicht, und ihre Entfernung läuft über denjenigen, der das Gerät registriert hat. Beides zu sehen bedeutet, dass zwei verschiedene Stellen sich das Gerät teilen, und Sie sollten wissen, welche gerade Ihren Datenverkehr trägt.

Letzter Schritt: Verbinden Sie sich einmal und bestätigen Sie, dass der Verkehr wirklich dem Tunnel folgt. Laden Sie eine Seite, die Ihre öffentliche Adresse anzeigt, und prüfen Sie, dass die Adresse zum Anbieter gehört und nicht zu Ihrem Heimanschluss. Wenn die Zeile „Verbunden“ sagt und sich die Adresse nicht geändert hat, ist die Konfiguration installiert, leitet aber nicht, und die Korrektur liegt in den Einstellungen auf diesem Info-Bildschirm, nicht in der App.

Was die Zustimmung abdeckt und was nicht

Erlauben gibt der App die Fähigkeit, Datenverkehr unter ihrer Konfiguration zu leiten. Das ist eine große Berechtigung in die eine Richtung und eine enge in die andere. Die App kann Ihre Pakete über ihre Server senden und die daran hängenden Metadaten sehen: welche Adressen Sie kontaktiert haben, wann und wie viel übertragen wurde. Sie kann das Innere einer HTTPS-Sitzung nicht lesen und erhält nicht Ihre Fotos, Nachrichten, Ihr Mikrofon oder Ihre Apple ID.

Der Umfang ist ebenfalls enger als „alles“. Eine Konfiguration kann den gesamten Verkehr oder nur einige Ziele leiten, und Tunneling pro App — bei dem nur benannte Apps den Tunnel nutzen — wird von einer Geräteverwaltung eingerichtet, nicht durch Tippen auf „Erlauben“. iOS hält immer nur eine persönliche VPN-Verbindung aktiv, selbst wenn mehrere Konfigurationen aufgeführt sind, sodass eine zweite App nicht stillschweigend die erste übernehmen kann, solange diese verbunden ist.

Widerrufen Sie es sauber, wenn Sie den Dienst nicht mehr nutzen

Die App zu löschen ist kein verlässlicher Weg, die Konfiguration zu entfernen. Prüfen Sie die VPN-Liste selbst und löschen Sie die Zeile auf ihrem Info-Bildschirm, wenn sie noch da ist. Auf einem Gerät, das Sie ausmustern, erledigen Sie auch die Kontoseite: Melden Sie sich im Dashboard des Anbieters ab oder widerrufen Sie das Gerät dort, denn eine gelöschte lokale Zeile bewirkt nichts gegen eine Sitzung, die der Server weiterhin als gültig ansieht.

Verwaltete Geräte sind die Ausnahme. Wenn die Zeile sagt, dass eine Organisation sie installiert hat, schlägt ein lokales Löschen entweder fehl oder wird beim nächsten Check-in rückgängig gemacht, und nur der eigene Entfernungsprozess der Organisation bleibt bestehen.

Wenn der Dialog immer wieder kommt

Ein wiederholter Dialog bedeutet meist, dass die Konfiguration erneut erzeugt wird, nicht dass die erste Zustimmung fehlgeschlagen ist. Die häufigen Ursachen: Die App schreibt bei jedem Start eine frische Konfiguration und iOS behandelt sie als neu, eine Regel für die Verbindung auf Anforderung hat den alten Eintrag verworfen, ein Profil wurde von einer Geräteverwaltung neu installiert, oder es gibt mehrere Konfigurationen und die App fragt nach einer, die Sie nie bemerkt haben.

Zählen Sie zuerst die Zeilen. Wenn die Liste jedes Mal wächst, wenn Sie die App öffnen, verwendet die App ihre Konfiguration nicht wieder, und die Korrektur liegt beim Entwickler oder bei einer sauberen Neuinstallation. Wenn die Liste bei eins bleibt und der Dialog trotzdem zurückkommt, suchen Sie ein Verwaltungsprofil, das sie neu installiert — das ist eine Richtlinienfrage, kein Fehler, den Sie wegtippen können.

Bevor Sie weitermachen, bestätigen Sie drei Dinge: Die Zeile in den Einstellungen ist die, die Sie zugelassen haben, die Adresse, die Sie verbunden sehen, gehört zum Anbieter, und die Kontoseite ist widerrufen, wenn Sie mit dem Dienst fertig sind. Diese drei decken ab, was der Dialog gewährt hat, was er jetzt tut und was er weiter tun wird, nachdem das Gerät Ihre Hände verlässt.