L’iPhone chiede di consentire una configurazione VPN: controllate prima di toccare

Avete toccato qualcosa in un’app VPN e iOS ha risposto con una finestra che non vi aspettavate: l’app desidera aggiungere configurazioni VPN, con «Non consentire» e «Consenti» sotto. Quella finestra è il permesso di instradamento del sistema e compare una volta per ogni configurazione che l’app prova a installare. Consentitelo quando avete aperto l’app e intendevate connettervi; toccate «Non consentire» quando la richiesta è arrivata mentre facevate altro, poi capite cosa l’ha portata sullo schermo. Nulla nel testo vi dice se il fornitore merita fiducia — registra solo che iOS sta per consegnare parte dello stack di rete a questa app.

Cosa vi chiede di approvare iOS

Un’app comune non può toccare il percorso dei pacchetti. Un client VPN deve essere costruito sul framework NetworkExtension di Apple e firmato con il diritto Personal VPN; quando vuole un tunnel, crea un oggetto di configurazione e chiede al sistema di salvarlo, e proprio quella chiamata di salvataggio fa comparire la finestra. La formulazione cambia tra le versioni — le recenti dicono aggiungi configurazioni VPN, le vecchie aggiungi una configurazione VPN — ma il significato è fisso: un’app che avete installato vuole una voce permanente in Impostazioni > Generali > VPN e gestione dispositivo.

La voce è permanente per progettazione. Sopravvive agli arresti anomali e ai riavvii dell’app, può riconnettersi mentre l’app è chiusa e può portare regole su richiesta che alzano il tunnel quando vi unite a una rete. È esattamente per questo che iOS chiede invece di farlo e basta, e per questo la risposta viene memorizzata invece di essere richiesta di nuovo a ogni connessione.

Leggete la finestra prima di toccare «Consenti»

Trattate la finestra come un’affermazione che potete verificare in pochi secondi. Fermatevi al primo punto che non regge.

• Il nome nella finestra corrisponde a un’app che avete installato. Una finestra attribuita a qualcosa che non riconoscete è un motivo per toccare «Non consentire» e continuare a cercare, non una cosa da provare.
• Eravate dentro quell’app quando è comparsa. La configurazione iniziale e i pulsanti di connessione sono i trigger normali.
• L’app non è stata appena aggiornata o reinstallata senza di voi. Una nuova versione può aggiungere una configurazione e chiedere di nuovo.
• Nessuno vi chiede l’Apple ID, un numero di carta o un codice ricevuto per messaggio. La finestra VPN non li vuole mai, quindi una finestra che li chiede è un’altra finestra.

Quando tutte e quattro le condizioni valgono, «Consenti» è una risposta ragionevole per un fornitore scelto di proposito. Se non siete sicuri, toccate «Non consentire»; l’app chiederà di nuovo la prossima volta che salva, e non perdete nulla aspettando un’ora.

Verificate la configurazione dopo aver consentito

L’approvazione avvia il controllo, non lo conclude. Aprite Impostazioni > Generali > VPN e gestione dispositivo e guardate il blocco VPN. Dovreste vedere una riga intitolata all’app o al profilo che ha installato, con una riga di stato e un pulsante informazioni. Toccate quel pulsante per leggere l’indirizzo del server, il nome dell’account se c’è e se «Connetti su richiesta» è attivo.

Poi decidete di chi è la riga. Una VPN personale creata da un’app è vostra da modificare ed eliminare; una riga che dice che è gestita da un’organizzazione non lo è, e la sua rimozione passa da chi ha registrato il dispositivo. Vederle entrambe significa che due autorità diverse condividono il dispositivo, e dovreste sapere quale sta portando il vostro traffico adesso.

Ultimo passo: connettetevi una volta e confermate che il traffico segue davvero il tunnel. Caricate una pagina che mostra il vostro indirizzo pubblico e controllate che l’indirizzo appartenga al fornitore, non alla vostra connessione di casa. Se la riga dice «Connesso» e l’indirizzo non è cambiato, la configurazione è installata ma non instrada, e la correzione è nelle impostazioni di quella schermata informazioni, non nell’app.

Cosa copre l’approvazione e cosa no

Consentire dà all’app la capacità di instradare traffico sotto la sua configurazione. È un permesso ampio in una direzione e stretto nell’altra. L’app può inviare i vostri pacchetti attraverso i suoi server e può vedere i metadati a essi allegati: quali indirizzi avete contattato, quando e quanto è passato. Non può leggere l’interno di una sessione HTTPS e non ottiene le vostre foto, i messaggi, il microfono o l’Apple ID.

Anche la copertura è più stretta di «tutto». Una configurazione può instradare tutto il traffico o solo alcune destinazioni, e il tunnel per app — dove solo le app nominate usano il tunnel — è organizzato da un gestore di dispositivi, non toccando «Consenti». iOS tiene attiva una sola connessione VPN personale alla volta anche quando sono elencate più configurazioni, quindi una seconda app non può rilevare in silenzio la prima mentre questa è connessa.

Revocatelo correttamente quando smettete di usare il servizio

Eliminare l’app non è un modo affidabile per togliere la configurazione. Controllate voi stessi l’elenco VPN ed eliminate la riga dalla sua schermata informazioni se è ancora lì. Su un dispositivo che dismettete, fate anche la parte dell’account: disconnettetevi nella dashboard del fornitore o revocate lì il dispositivo, perché una riga locale eliminata non fa nulla a una sessione che il server considera ancora valida.

I dispositivi gestiti sono l’eccezione. Quando la riga dice che l’ha installata un’organizzazione, un’eliminazione locale o fallisce o viene annullata al controllo successivo, e solo il processo di rimozione dell’organizzazione resisterà.

Quando la finestra continua a tornare

Una finestra ripetuta di solito significa che la configurazione viene ricreata, non che la prima approvazione sia fallita. Le cause comuni: l’app scrive una configurazione nuova a ogni avvio e iOS la tratta come nuova, una regola su richiesta ha scartato la vecchia voce, un profilo è stato reinstallato da un gestore di dispositivi, oppure esistono più configurazioni e l’app chiede di una che non avete mai notato.

Contate prima le righe. Se l’elenco cresce ogni volta che aprite l’app, l’app non riutilizza la sua configurazione e la correzione spetta allo sviluppatore o a una reinstallazione pulita. Se l’elenco resta a una e la finestra torna comunque, cercate un profilo di gestione che la reinstalla — è una questione di politica, non un bug che potete togliere toccando.

Prima di proseguire, confermate tre cose: la riga in Impostazioni è quella che avete approvato, l’indirizzo che vedete connessi appartiene al fornitore e la parte dell’account è revocata se avete finito con il servizio. Queste tre coprono ciò che la finestra ha concesso, ciò che fa ora e ciò che continuerà a fare dopo che il dispositivo lascia le vostre mani.