VPN por app en iOS: iguala el VPNUUID de la app, no el PayloadUUID

Dos valores UUID deciden si una app de iPhone gestionada viaja por el túnel por app, y ninguno de los dos es el identificador del perfil que los transporta. El atributo VPNUUID de la app debe ser igual al VPNUUID dentro del payload de VPN por app. La app desplegada también debe estar gestionada por el mismo servicio de gestión de dispositivos, y el comando que envías debe llevar realmente el atributo. Recorre las cuatro etapas siguientes en orden, porque cada una produce un valor que la siguiente necesita.

Reúne cuatro identificadores antes de tocar el dispositivo

Anota cuatro valores: el identificador de bundle de tu inventario de gestión, el identificador del payload de VPN por app, el VPNUUID dentro de ese payload y el identificador del comando que estás a punto de enviar. El identificador de bundle nombra la aplicación que recibe los ajustes, y la etiqueta de la pantalla de inicio no lo sustituye. Mantén el PayloadUUID completamente fuera de esta lista, ya que identifica un payload dentro de un perfil y responde a otra pregunta. Sustituirlo por él porque ambos campos parecen UUID es la forma más común de construir una asociación que nunca podrá coincidir.

Si el administrador de VPN no te ha entregado el payload por app y su identificador, pídelos en lugar de raspar un UUID de cualquier archivo de configuración que tengas más a mano.

Aplica el atributo por el canal de gestión

Confirma que la app de destino está gestionada en ese dispositivo, porque un identificador de bundle conocido no hace que una instalación no gestionada sea elegible para la asociación. Después envía un elemento de ajustes de tipo ApplicationAttributes mediante la asignación de VPN por app de tu producto o su implementación compatible del comando Settings. El elemento identifica la app por el identificador de bundle y lleva un diccionario Attributes cuyo VPNUUID coincide con el payload. Nada de ese elemento es un sobre de comando completo, y nada de él puede instalarse como perfil a mano.

Trata la retirada con la misma deliberación que la instalación. El esquema dice que omitir el diccionario Attributes elimina los atributos existentes de la app, así que una actualización a medio construir se convierte en silencio en un reinicio. El comando Managed Application Attributes, de nombre parecido, lee los atributos de vuelta para verificarlos; no los establece, y usarlo como colocador es una ventana de despliegue desperdiciada.

Lee el resultado del comando, no el icono de la app

Revisa el acuse del comando que enviaste y confirma que la app gestionada ya informa del atributo. Una insignia de VPN en la barra de estado solo dice que existe un túnel en algún lugar del teléfono. No puede decirte que esta app concreta esté asignada a la configuración por app, y en un dispositivo donde el túnel se abre bajo demanda la insignia puede no aparecer nunca. Compara identificadores en la asignación en lugar de buscar una pista visual.

Si existen dos configuraciones por app en la misma flota, compara sus identificadores antes de suponer que tu asignación aterrizó en la prevista.

Prueba con el recurso y luego registra el par

Haz que un usuario autorizado abra el recurso privado desde la app asignada y observa si el túnel por app se levanta para él. Luego repite desde una app no gestionada en el mismo teléfono y confirma que el trato difiere. Ese contraste es la prueba real, porque un recurso privado que funciona también podría haberse alcanzado por un túnel para todo el dispositivo que nadie mencionó en el registro de cambios. Registra el resultado mientras tienes el dispositivo delante.

Guarda juntos el identificador de bundle, el identificador del payload, el VPNUUID compartido y el resultado del comando, para que la siguiente investigación empiece por los mismos cuatro valores y no por la memoria.

Revierte sin daños colaterales

Para quitar la asignación, reenvía el atributo de la app con un diccionario Attributes vacío en la forma que documenta tu producto, en lugar de retirar la app del comando. Verifica después que la app ya no abre el túnel por app y que otras apps gestionadas conservaron el suyo. Si el mismo teléfono también tiene un perfil de VPN para todo el dispositivo, confirma que sigue comportándose como antes de la reversión, ya que dos configuraciones de VPN en un dispositivo es donde este paso suele salir mal. Luego actualiza el registro que guardaste.

Una auditoría que pregunte por qué una app concreta fue tunelizada alguna vez querrá el par de UUID y una fecha, no una descripción del despliegue.