iPhone-VPN verbindet sich nach dem Ausschalten neu: Wer startet sie?

Tippe auf Trennen bei der iPhone-VPN, öffne einen Browser, und der Tunnel steht wieder, bevor die Seite lädt, was den Schalter kaputt aussehen lässt. Meist funktioniert es wie vorgesehen, nur nicht wie vom Nutzer gemeint. Trennen beendet eine Sitzung; etwas anderes hat weiterhin die Berechtigung, eine neue zu starten. Drei verschiedene Verursacher können das unter iOS tun, und jeder hinterlässt einen anderen Fingerabdruck darin, wann die Neuverbindung geschieht.

Trennen ist nicht Deaktivieren

Ein manuelles Trennen sagt dem Tunnel, dass er stoppen soll. Es sagt dem System nicht unbedingt, dass es aufhören soll, danach zu fragen. Regeln für „Bei Bedarf verbinden“, die eigene Auto-Verbindungs-Richtlinie einer Anbieter-App und eine verwaltete Always On-Konfiguration überleben alle ein Trennen, und jede davon kann die Verbindung erneut starten, ohne dass der Nutzer etwas anfasst.

Der Unterschied zählt, weil die Lösung beim Verursacher liegt. Den Schalter fester umzulegen hilft nie, und das Profil zu löschen ist eine viel größere Maßnahme, als das Problem verlangt. Finde zuerst den Auslöser und entscheide dann, ob es deine Sache ist, ihn zu ändern. Diese Reihenfolge bewahrt dich auch davor, eine funktionierende Konfiguration zu entfernen, weil du einer Regel nachjagst, die woanders sitzt.

Vergleiche die drei Verursacher an ihrem Auslöser

„Bei Bedarf verbinden“ reagiert auf Bedingungen, die das Betriebssystem auswertet: der Beitritt zu einem Netzwerk oder eine Anfrage, die eine Domain betrifft, auf die die Regel passt. Eine Anbieter-App kann eine Verbindung aufbauen, wenn die App startet oder wenn ihre eigene Hintergrundrichtlinie es entscheidet. Ein verwaltetes Always On-Deployment ist eine Anforderung auf Geräteebene, die der Nutzer gar nicht übergehen soll.

Achte darauf, welches Ereignis der Neuverbindung vorausgeht, und der Verursacher wird ziemlich offensichtlich. Das ist der Unterschied zwischen einer Regel, die du bearbeiten kannst, und einer Richtlinie, nach der du nur fragen kannst.

Was die On-Demand-Regeln wirklich tun

On-Demand-Verhalten ist eine geordnete Liste. Jeder Eintrag passt zu einer Bedingung und erzeugt eine Aktion: verbinden, trennen, einen Verbindungsversuch bewerten oder ignorieren. Eine Verbindungsregel, die vor einer Trennregel steht, gewinnt, wann immer beide passen, und deshalb kann sich ein Gerät direkt nach einem manuellen Trennen wieder verbinden.

Regeln können auch domaingesteuert sein und auf einen Hostnamen in einer Anfrage statt auf einen Schnittstellenwechsel passen. Das ist das Muster hinter „die VPN kommt zurück, wenn ich die Intranet-Seite öffne“, und es zeigt auf den Anbieter oder das Profil, das die Regel installiert hat, statt auf iOS selbst.

Verwaltetes Always On ist keine persönliche Option

Auf einem überwachten, verwalteten Gerät kann die Organisation verlangen, dass eine VPN aktiv bleibt, und dem Nutzer die Möglichkeit nehmen, sie auszuschalten. Kein Umschalten in den Einstellungen ändert das, und die ehrliche Antwort ist, dass das Verhalten zur Richtlinie des Administrators gehört.

Frage, welche Richtlinie gilt und welcher Ausnahmeprozess existiert, falls überhaupt einer. Das installierte Verwaltungsprofil zu löschen ist keine unterstützte Lösung; es kann andere Konfiguration entfernen, von der das Gerät abhängt, und es kann die Compliance-Berichterstattung brechen.

Teste, indem du den Auslöser entfernst, nicht das Profil

Lass das Profil installiert, trenne, und wiederhole dann das Ereignis, das den Tunnel zuvor neu gestartet hat: tritt demselben WLAN bei, öffne dieselbe App, frage denselben internen Namen an. Kommt der Tunnel in diesem Moment zurück, hast du den Auslöser identifiziert und kannst die Einstellung suchen, die ihn besitzt.

Ändere eine Einstellung beim Verursacher und wiederhole dann denselben Test. Hört die Neuverbindung auf, hast du die Antwort; bleibt sie bestehen, sitzt der Auslöser woanders, und das Profil war nie das Problem. Eine heruntergeladene Einstellungsdatei, die noch in Dateien liegt, ist ebenfalls keine installierte Konfiguration, also beweist das Löschen der Datei nichts.

Das nützliche Ergebnis ist ein Satz, den du aufschreiben kannst: Diese Verbindung wird von dieser Regel oder Richtlinie gestartet und von dieser Seite verantwortet. Sobald das stimmt, fühlt sich der Schalter nicht mehr unvorhersehbar an, und die nächste Person, die es meldet, bekommt eine direkte Antwort statt einer weiteren Neuinstallation.