Valvottu iPhone ja VPN-asetukset: mikä oikeasti muuttuu
Käy läpi Laitteiden hallinta -näyttö, lue profiili, joka omistaa tunnelin, ja opi, mitkä iOSin VPN-asetukset näkyvät vain valvotussa laitteessa.
Avaa Asetukset, sitten Yleiset, sitten VPN ja laitteiden hallinta, ja lue, mitä puhelin sanoo itsestään. Apple Business Managerin tai Apple School Managerin kautta rekisteröidyt laitteet ilmoittavat organisaationsa tuolla näytöllä, ja tuo yksi rivi selittää VPN-asetuksista enemmän kuin useimmat kokoonpano-oppaat. Valvonta on hallintatila, ei VPN-ominaisuus, ja se muuttaa sitä, mitkä kytkimet ovat olemassa, ei sitä, mikä palvelin on tavoitettavissa. Tilan lukeminen ensin säästää kolmen alivalikon läpikäynnin etsittäessä kytkintä, jota ei koskaan pitänyt ilmestyä.
Aloita siitä, missä puhelin ilmoittaa hallintatilansa
Tuo näyttö luettelee kaikki laitteeseen asennetut kokoonpanoprofiilit järjestettyinä sen toimittaneen organisaation mukaan. VPN-tietosisällön sisältävä profiili on objekti, joka omistaa tunnelin määritelmän: sen palvelinosoitteen, todennusmenetelmän, kysynnän mukaan aktivoinnin säännöt ja sen, saako käyttäjä muokata tai poistaa sen.
Jos luettelo on tyhjä lukuun ottamatta itse asentamaasi sovellusta, puhelinta ei hallita siinä merkityksessä, jota tämä artikkeli tarkoittaa. App Storesta tuleva VPN-asiakasohjelma luo omat asetuksensa järjestelmälaajennuksen kautta, eikä profiililuettelon tutkiminen tuota organisaatiokäytäntöä, koska sitä ei kyseisessä laitteessa ole.
Lue profiili ennen kuin muutat mitään kytkintä
Napauta profiilin nimeä ja lue tietosisällön yhteenveto ennen kuin kosket mihinkään. Siinä kerrotaan yhteyden tyyppi, palvelin ja usein se, voiko profiilin poistaa. Nämä kolme seikkaa kertovat, kuka voi muuttaa käyttäytymistä ja mihin korjaus kuuluu. VPN-rivin alla olevan päälle/pois-kytkimen muuttaminen ei muuta profiilia, ja seuraava hallintatarkistus voi palauttaa tilan täsmälleen sinne, missä organisaatio haluaa sen olevan.
Ei-poistettavaksi merkitty profiili on laiterajoituksena ilmaistu hallinnollinen päätös, ei vika, jota pitäisi kiertää.
Miksi joitakin VPN-kytkimiä puuttuu
Kysynnän mukainen aktivointi, sovelluskohtainen tunnelointi ja vain IKEv2:lla toimiva käyttäytyminen ovat hallintarajapintojen takana, ja useat niistä vaativat valvonnan lisäksi hallintaa. Henkilökohtainen puhelin, johon asiakasohjelma on asennettu käsin, ei yksinkertaisesti näytä näitä säätimiä, eikä niiden puuttuminen todista rikkinäistä sovellusta tai vanhentunutta iOS-versiota. Sama iOS-versio näyttää eri vaihtoehdot kahdessa laitteessa, koska laitteet ovat eri tiloissa.
Rekisteröintitapa ratkaisee tämän tilan. Automaattinen laiteregisteröinti Apple Business Managerin tai Apple School Managerin kautta tuottaa valvotun laitteen; käsin asennettu profiili ei tee sitä, vaikka sama MDM-palvelin olisi toimittanut sen.
Mitä valvonta lisää ja mitä se ei edelleenkään pysty tekemään
Valvonta nostaa kattoa sille, mitä organisaatio voi pakottaa, sen sijaan että se muuttaisi itse tunnelia. Se mahdollistaa ei-poistettavat profiilit, lisärajoitukset ja hallitun sovellustason tunneloinnin, ja juuri siksi laite voidaan velvoittaa pitämään VPN aktiivisena sen sijaan, että vaihtoehto tarjottaisiin. Applen käyttöönotto-opas kuvaa rekisteröinnin ja hallinnan reitiksi näihin ominaisuuksiin.
Se ei tee tietystä VPN-operaattorista luotettavaa eikä muuta huonosti myönnettyä varmennetta toimivaksi yhteydeksi. Valvonta on lausunto siitä, kuka saa määrittää laitteen, ei merkki yhteyden palvelun laadusta.
| What the phone shows | What it means for the tunnel |
|---|---|
| Profile from an organization with a VPN payload | The organization defines the connection and may reapply it |
| No organization profile, client installed from the App Store | Personal configuration, no supervision involved |
| Organization named on the management screen with enforced settings | Supervised enrolment; removal and editing are restricted |
Versioerot ovat tässäkin tärkeitä: uusimmassa versiossa näkyvä säädin voi olla dokumentoitu vain valvotuille laitteille, eikä kaksi pääversiota jäljessä oleva laite ole viite siitä, miltä asetuksen pitäisi näyttää.
Poistu tuetun reitin kautta
Kun laite pitäisi lopettaa hallinnasta tai kun profiili sisältää virheen, korjaus kuuluu järjestelmänvalvojan käytöstä poiston tai uudelleenmyönnön prosessiin. Puhelimen pyyhkiminen ei välttämättä vapauta sitä automaattisesta rekisteröintimäärityksestä, joten laite voi palata määritettynä ja valvottuna nollauksen jälkeen.
Tallenna palautustiedot ennen jokaista valtuutettua nollausta ja odota, että profiilin poisto vie mukanaan muutakin kuin VPN:n: varmenteet, Wi-Fi-tunnistetiedot ja rajoitukset kulkevat yleensä yhdessä. Päätös pitää toimiva tunneli on helpompi kuin rakentaa se myöhemmin uudelleen.