iPhone בפיקוח והגדרות VPN: מה באמת משתנה
עברו על מסך ניהול המכשיר, קראו את הפרופיל שבבעלות המנהרה, וגלו אילו אפשרויות VPN ב-iOS מופיעות רק במכשיר בפיקוח.
פתחו את הגדרות, אחר כך כללי, אחר כך VPN וניהול מכשיר, וקראו מה הטלפון אומר על עצמו. מכשירים שנרשמו דרך Apple Business Manager או Apple School Manager מציגים את הארגון שלהם במסך הזה, והשורה האחת הזו מסבירה על אפשרויות ה-VPN יותר מרוב מדריכי התצורה. פיקוח הוא מצב ניהול, לא תכונת VPN, והוא משנה אילו מתגים קיימים ולא איזה שרת נגיש. קריאת המצב קודם חוסכת מעבר בשלושה תפריטי משנה בחיפוש אחר מתג שלא היה אמור להופיע.
התחילו במקום שבו הטלפון מדווח על מצב הניהול שלו
המסך הזה מפרט כל פרופיל תצורה המותקן במכשיר, מקובץ לפי הארגון שסיפק אותו. פרופיל הנושא מטען VPN הוא האובייקט שבבעלות הגדרת המנהרה: כתובת השרת שלו, שיטת האימות שלו, כללי ההפעלה לפי דרישה והאם המשתמש רשאי לערוך או להסיר אותו.
אם הרשימה ריקה מלבד אפליקציה שהתקנתם בעצמכם, הטלפון אינו מנוהל במובן שהמאמר הזה מתכוון אליו. לקוח VPN מה-App Store יוצר הגדרות משלו דרך הרחבת מערכת, וכמה שלא תחפשו ברשימת הפרופילים לא תופיע מדיניות ארגונית, כי אין כזו במכשיר הזה.
קראו את הפרופיל לפני שינוי כל מתג
הקישו על שם הפרופיל וקראו את סיכום המטען לפני שאתם נוגעים במשהו. הוא מציין את סוג החיבור, את השרת ולעיתים קרובות אם ניתן להסיר את הפרופיל. שלוש העובדות האלה אומרות לכם מי יכול לשנות את ההתנהגות והיכן שייכת התיקון. שינוי מתג ההפעלה/כיבוי מתחת לשורת ה-VPN אינו משנה את הפרופיל, והבדיקה הניהולית הבאה יכולה להחזיר את המצב בדיוק לאן שהארגון רוצה.
פרופיל המסומן כבלתי ניתן להסרה הוא החלטה מנהלית המובעת כהגבלת מכשיר, לא תקלה שצריך לעקוף.
למה כמה מתגי VPN חסרים
הפעלה לפי דרישה, מנהרה לכל אפליקציה והתנהגות של IKEv2 בלבד נמצאות מאחורי ממשקי ניהול, וכמה מהן דורשות פיקוח בנוסף לניהול. טלפון אישי עם לקוח מותקן ידנית פשוט אינו מציג את הפקדים האלה, והיעדרם אינו הוכחה לאפליקציה שבורה או לגרסת iOS מיושנת. אותה גרסת iOS מציגה אפשרויות שונות בשני מכשירים כי המכשירים נמצאים במצבים שונים.
שיטת הרישום קובעת את המצב הזה. רישום מכשירים אוטומטי דרך Apple Business Manager או Apple School Manager יוצר מכשיר בפיקוח; פרופיל שהותקן ידנית אינו עושה זאת, גם כשאותו שרת MDM סיפק אותו.
מה הפיקוח מוסיף ומה הוא עדיין אינו יכול לעשות
הפיקוח מעלה את התקרה של מה שארגון רשאי לכפות במקום לשנות את המנהרה עצמה. הוא מאפשר פרופילים בלתי ניתנים להסרה, הגבלות נוספות ומנהרה מנוהלת ברמת האפליקציה, והוא הסיבה לכך שאפשר לחייב מכשיר להחזיק VPN פעיל במקום להציע את האפשרות. מדריך הפריסה של Apple מתאר רישום וניהול כדרך ליכולות האלה.
הוא אינו הופך מפעיל VPN מסוים לאמין, ואינו הופך תעודה שהונפקה ברע לחיבור עובד. פיקוח הוא הצהרה על מי רשאי להגדיר את המכשיר, לא תו איכות על השירות שמתחברים אליו.
| What the phone shows | What it means for the tunnel |
|---|---|
| Profile from an organization with a VPN payload | The organization defines the connection and may reapply it |
| No organization profile, client installed from the App Store | Personal configuration, no supervision involved |
| Organization named on the management screen with enforced settings | Supervised enrolment; removal and editing are restricted |
גם הבדלי גרסאות חשובים כאן: פקד שמופיע בגרסה החדשה ביותר עשוי להיות מתועד רק עבור מכשירים בפיקוח, ומכשיר שמפגר בשתי גרסאות ראשיות אינו האסמכתא לאיך ההגדרה אמורה להיראות.
צאו בדרך הנתמכת
כשהמכשיר צריך להפסיק להיות מנוהל, או כשפרופיל מכיל טעות, התיקון שייך לתהליך ההוצאה לגמלאות או ההנפקה מחדש של המנהל. מחיקת הטלפון אינה משחררת אותו בהכרח מהקצאת רישום אוטומטית, ולכן המכשיר יכול לחזור מוגדר ובפיקוח לאחר איפוס.
תעדו את פרטי השחזור לפני כל איפוס מורשה, וצפו שהסרת פרופיל תיקח איתה יותר מה-VPN: תעודות, פרטי Wi-Fi והגבלות נוסעים בדרך כלל יחד. החלטה להשאיר מנהרה עובדת קלה יותר מבנייה מחדש שלה מאוחר יותר.