iPhone supervisé et réglages VPN : ce qui change vraiment
Parcourez l'écran Gestion de l'appareil, lisez le profil qui possède le tunnel et découvrez quelles options VPN d'iOS n'apparaissent que sur un appareil supervisé.
Ouvrez Réglages, puis Général, puis VPN et gestion de l'appareil, et lisez ce que le téléphone dit de lui-même. Les appareils inscrits via Apple Business Manager ou Apple School Manager identifient leur organisation sur cet écran, et cette seule ligne en explique plus sur les options VPN que la plupart des guides de configuration. La supervision est un état de gestion, pas une fonction VPN, et elle change les interrupteurs qui existent plutôt que le serveur joignable. Lire l'état en premier évite de parcourir trois sous-menus à la recherche d'un commutateur qui n'était jamais censé apparaître.
Commencez là où le téléphone indique son état de gestion
Cet écran répertorie chaque profil de configuration installé sur l'appareil, regroupés par l'organisation qui l'a fourni. Un profil portant une charge utile VPN est l'objet qui possède la définition du tunnel : son adresse de serveur, sa méthode d'authentification, ses règles d'activation à la demande et si l'utilisateur peut le modifier ou le supprimer.
Si la liste est vide hormis une app que vous avez installée vous-même, le téléphone n'est pas géré au sens où cet article l'entend. Un client VPN de l'App Store crée ses propres réglages via une extension système, et beau chercher dans la liste des profils, aucune politique d'organisation n'apparaîtra, car il n'en existe aucune sur cet appareil.
Lisez le profil avant de changer le moindre commutateur
Touchez le nom du profil et lisez le résumé de la charge utile avant de toucher quoi que ce soit. Il indique le type de connexion, le serveur et souvent si le profil est supprimable. Ces trois faits vous disent qui peut changer le comportement et à qui revient la correction. Changer l'interrupteur marche/arrêt sous la ligne VPN ne modifie pas le profil, et le prochain contrôle de gestion peut remettre l'état exactement là où l'organisation le veut.
Un profil marqué comme non supprimable est une décision administrative exprimée sous forme de restriction d'appareil, pas un bug à contourner.
Pourquoi certains commutateurs VPN manquent
L'activation à la demande, le tunnel par app et le comportement IKEv2 uniquement se trouvent derrière des API de gestion, et plusieurs exigent la supervision en plus de la gestion. Un téléphone personnel avec un client installé manuellement ne présente tout simplement pas ces contrôles, et leur absence ne prouve ni une app défaillante ni une version d'iOS obsolète. La même version d'iOS affiche des options différentes sur deux appareils parce que les appareils sont dans des états différents.
La méthode d'inscription décide de cet état. L'inscription automatique d'appareils via Apple Business Manager ou Apple School Manager produit un appareil supervisé ; un profil installé manuellement ne le fait pas, même lorsque le même serveur MDM l'a fourni.
Ce que la supervision ajoute et ce qu'elle reste incapable de faire
La supervision relève le plafond de ce qu'une organisation peut imposer plutôt que de changer le tunnel lui-même. Elle permet les profils non supprimables, des restrictions supplémentaires et le tunnel géré au niveau des apps, et c'est la raison pour laquelle un appareil peut être tenu de garder un VPN actif au lieu d'offrir l'option. Le guide de déploiement d'Apple décrit l'inscription et la gestion comme la voie vers ces capacités.
Elle ne rend pas un opérateur VPN précis digne de confiance, et elle ne transforme pas un certificat mal émis en connexion fonctionnelle. La supervision est une déclaration sur qui peut configurer l'appareil, pas un label de qualité du service auquel on se connecte.
| What the phone shows | What it means for the tunnel |
|---|---|
| Profile from an organization with a VPN payload | The organization defines the connection and may reapply it |
| No organization profile, client installed from the App Store | Personal configuration, no supervision involved |
| Organization named on the management screen with enforced settings | Supervised enrolment; removal and editing are restricted |
Les différences de version comptent ici aussi : un contrôle qui apparaît dans la dernière version peut n'être documenté que pour les appareils supervisés, et un appareil deux versions majeures en retard n'est pas la référence de ce à quoi le réglage doit ressembler.
Sortez par la voie prise en charge
Quand l'appareil doit cesser d'être géré, ou quand un profil contient une erreur, la correction relève du processus de mise hors service ou de réémission de l'administrateur. Effacer le téléphone ne le libère pas forcément d'une affectation d'inscription automatique, donc l'appareil peut revenir configuré et supervisé après une réinitialisation.
Consignez les informations de récupération avant toute réinitialisation autorisée, et attendez-vous à ce que la suppression d'un profil emporte plus que le VPN : certificats, identifiants Wi-Fi et restrictions voyagent généralement ensemble. Décider de conserver un tunnel fonctionnel est plus facile que de le reconstruire ensuite.