Betreutes iPhone und VPN-Einstellungen: Was sich wirklich ändert
Gehen Sie den Bildschirm Geräteverwaltung durch, lesen Sie das Profil, dem der Tunnel gehört, und erfahren Sie, welche iOS-VPN-Optionen nur auf einem betreuten Gerät erscheinen.
Öffnen Sie Einstellungen, dann Allgemein, dann VPN & Geräteverwaltung, und lesen Sie, was das Telefon über sich selbst sagt. Geräte, die über Apple Business Manager oder Apple School Manager registriert sind, nennen auf diesem Bildschirm ihre Organisation, und diese eine Zeile erklärt mehr über die VPN-Optionen als die meisten Konfigurationsanleitungen. Überwachung ist ein Verwaltungszustand, keine VPN-Funktion, und sie ändert, welche Schalter existieren, nicht welcher Server erreichbar ist. Wer den Zustand zuerst liest, erspart sich den Weg durch drei Untermenüs auf der Suche nach einem Schalter, der nie erscheinen sollte.
Beginnen Sie dort, wo das Telefon seinen Verwaltungszustand meldet
Dieser Bildschirm listet jedes auf dem Gerät installierte Konfigurationsprofil auf, gruppiert nach der Organisation, die es bereitgestellt hat. Ein Profil mit einer VPN-Nutzlast ist das Objekt, dem die Tunneldefinition gehört: seine Serveradresse, seine Authentifizierungsmethode, seine Regeln für die Aktivierung bei Bedarf und ob der Benutzer es bearbeiten oder entfernen darf.
Ist die Liste bis auf eine selbst installierte App leer, wird das Telefon nicht in dem Sinne verwaltet, den dieser Artikel meint. Ein VPN-Client aus dem App Store legt seine eigenen Einstellungen über eine Systemerweiterung an, und noch so viel Suchen in der Profilliste wird keine Organisationsrichtlinie zutage bringen, weil es auf diesem Gerät keine gibt.
Lesen Sie das Profil, bevor Sie einen Schalter ändern
Tippen Sie auf den Profilnamen und lesen Sie die Zusammenfassung der Nutzlast, bevor Sie etwas anfassen. Sie nennt den Verbindungstyp, den Server und oft, ob das Profil entfernt werden kann. Diese drei Fakten sagen Ihnen, wer das Verhalten ändern kann und wohin die Korrektur gehört. Der Ein-/Aus-Schalter unter der VPN-Zeile ändert das Profil nicht, und die nächste Verwaltungsprüfung kann den Zustand genau dorthin zurückbringen, wo die Organisation ihn haben will.
Ein als nicht entfernbar markiertes Profil ist eine administrative Entscheidung, ausgedrückt als Gerätebeschränkung, kein Fehler, den man umgehen müsste.
Warum einige VPN-Schalter fehlen
Aktivierung bei Bedarf, Tunneling pro App und Verhalten nur über IKEv2 liegen hinter Verwaltungs-APIs, und mehrere davon erfordern Überwachung ebenso wie Verwaltung. Ein privates Telefon mit manuell installiertem Client zeigt diese Steuerelemente schlicht nicht, und ihr Fehlen ist kein Beweis für eine defekte App oder eine veraltete iOS-Version. Dieselbe iOS-Version zeigt auf zwei Geräten unterschiedliche Optionen, weil sich die Geräte in unterschiedlichen Zuständen befinden.
Die Registrierungsmethode entscheidet über diesen Zustand. Die automatische Geräteregistrierung über Apple Business Manager oder Apple School Manager erzeugt ein überwachtes Gerät; ein manuell installiertes Profil tut das nicht, selbst wenn derselbe MDM-Server es bereitgestellt hat.
Was Überwachung hinzufügt und was sie weiterhin nicht kann
Überwachung hebt die Obergrenze dessen an, was eine Organisation durchsetzen darf, statt den Tunnel selbst zu verändern. Sie ermöglicht nicht entfernbare Profile, zusätzliche Beschränkungen und verwaltetes Tunneling auf App-Ebene, und sie ist der Grund, warum ein Gerät verpflichtet werden kann, ein VPN aktiv zu halten, statt die Option anzubieten. Der Apple-Bereitstellungsleitfaden beschreibt Registrierung und Verwaltung als den Weg zu diesen Fähigkeiten.
Sie macht einen bestimmten VPN-Anbieter nicht vertrauenswürdig und verwandelt ein schlecht ausgestelltes Zertifikat nicht in eine funktionierende Verbindung. Überwachung ist eine Aussage darüber, wer das Gerät konfigurieren darf, kein Qualitätssiegel für den Dienst, mit dem verbunden wird.
| What the phone shows | What it means for the tunnel |
|---|---|
| Profile from an organization with a VPN payload | The organization defines the connection and may reapply it |
| No organization profile, client installed from the App Store | Personal configuration, no supervision involved |
| Organization named on the management screen with enforced settings | Supervised enrolment; removal and editing are restricted |
Auch hier zählen Versionsunterschiede: Ein Steuerelement, das in der neuesten Version erscheint, ist möglicherweise nur für überwachte Geräte dokumentiert, und ein Gerät, das zwei Hauptversionen zurückliegt, ist keine Referenz dafür, wie die Einstellung aussehen sollte.
Verlassen Sie das Gerät über den unterstützten Weg
Wenn das Gerät nicht mehr verwaltet werden soll oder ein Profil einen Fehler enthält, gehört die Korrektur zum Stilllegungs- oder Neuausstellungsprozess des Administrators. Das Löschen des Telefons entbindet es nicht unbedingt von einer automatischen Registrierungszuweisung, sodass das Gerät nach einem Zurücksetzen konfiguriert und überwacht zurückkehren kann.
Erfassen Sie die Wiederherstellungsinformationen vor jedem autorisierten Zurücksetzen, und rechnen Sie damit, dass das Entfernen eines Profils mehr als nur das VPN mitnimmt: Zertifikate, Wi-Fi-Zugangsdaten und Beschränkungen reisen meist gemeinsam. Zu entscheiden, einen funktionierenden Tunnel zu behalten, ist einfacher, als ihn später wieder aufzubauen.