iPhone supervisionato e impostazioni VPN: cosa cambia davvero
Percorri la schermata Gestione dispositivo, leggi il profilo che possiede il tunnel e scopri quali opzioni VPN di iOS compaiono solo su un dispositivo supervisionato.
Apri Impostazioni, poi Generali, poi VPN e gestione dispositivo, e leggi cosa dice il telefono di sé. I dispositivi registrati tramite Apple Business Manager o Apple School Manager identificano la loro organizzazione su quella schermata, e quella singola riga spiega più sulle opzioni VPN di quanto facciano la maggior parte delle guide di configurazione. La supervisione è uno stato di gestione, non una funzione VPN, e cambia quali interruttori esistono anziché quale server è raggiungibile. Leggere prima lo stato evita di percorrere tre sottomenu cercando un interruttore che non sarebbe mai apparso.
Parti da dove il telefono segnala il suo stato di gestione
Quella schermata elenca ogni profilo di configurazione installato sul dispositivo, raggruppati per l'organizzazione che lo ha fornito. Un profilo che porta un payload VPN è l'oggetto che possiede la definizione del tunnel: il suo indirizzo del server, il metodo di autenticazione, le regole di attivazione su richiesta e se l'utente può modificarlo o rimuoverlo.
Se l'elenco è vuoto a parte un'app installata da te, il telefono non è gestito nel senso che intende questo articolo. Un client VPN dell'App Store crea le proprie impostazioni tramite un'estensione di sistema, e per quanto si cerchi nell'elenco dei profili non comparirà alcuna policy aziendale, perché su quel dispositivo non ne esiste nessuna.
Leggi il profilo prima di cambiare qualsiasi interruttore
Tocca il nome del profilo e leggi il riepilogo del payload prima di toccare qualsiasi cosa. Indica il tipo di connessione, il server e spesso se il profilo è rimovibile. Questi tre fatti ti dicono chi può cambiare il comportamento e a chi spetta la correzione. Cambiare l'interruttore on/off sotto la riga VPN non modifica il profilo, e il successivo controllo di gestione può riportare lo stato esattamente dove l'organizzazione lo vuole.
Un profilo contrassegnato come non rimovibile è una decisione amministrativa espressa come restrizione del dispositivo, non un bug da aggirare.
Perché mancano alcuni interruttori VPN
L'attivazione su richiesta, il tunnel per app e il comportamento solo IKEv2 si trovano dietro API di gestione, e diversi di essi richiedono la supervisione oltre alla gestione. Un telefono personale con un client installato manualmente semplicemente non mostra quei controlli, e la loro assenza non è prova di un'app guasta o di una versione di iOS obsoleta. La stessa versione di iOS mostra opzioni diverse su due dispositivi perché i dispositivi sono in stati diversi.
Il metodo di registrazione decide quello stato. La registrazione automatica dei dispositivi tramite Apple Business Manager o Apple School Manager produce un dispositivo supervisionato; un profilo installato manualmente no, anche quando è stato fornito dallo stesso server MDM.
Cosa aggiunge la supervisione e cosa continua a non poter fare
La supervisione alza il tetto di ciò che un'organizzazione può imporre invece di cambiare il tunnel stesso. Consente profili non rimovibili, restrizioni aggiuntive e tunnel gestito a livello di app, ed è il motivo per cui un dispositivo può essere obbligato a mantenere una VPN attiva invece di offrire l'opzione. La guida al deployment di Apple descrive registrazione e gestione come la via verso queste capacità.
Non rende affidabile un determinato operatore VPN e non trasforma un certificato emesso male in una connessione funzionante. La supervisione è una dichiarazione su chi può configurare il dispositivo, non un marchio di qualità del servizio a cui ci si connette.
| What the phone shows | What it means for the tunnel |
|---|---|
| Profile from an organization with a VPN payload | The organization defines the connection and may reapply it |
| No organization profile, client installed from the App Store | Personal configuration, no supervision involved |
| Organization named on the management screen with enforced settings | Supervised enrolment; removal and editing are restricted |
Anche le differenze di versione contano: un controllo che compare nella versione più recente può essere documentato solo per i dispositivi supervisionati, e un dispositivo due versioni principali indietro non è il riferimento di come dovrebbe apparire l'impostazione.
Esci dalla via supportata
Quando il dispositivo deve smettere di essere gestito, o quando un profilo contiene un errore, la correzione spetta al processo di dismissione o riemissione dell'amministratore. Cancellare il telefono non lo libera necessariamente da un'assegnazione di registrazione automatica, quindi il dispositivo può tornare configurato e supervisionato dopo un ripristino.
Registra le informazioni di recupero prima di qualsiasi ripristino autorizzato, e aspettati che la rimozione di un profilo porti via più del VPN: certificati, credenziali Wi-Fi e restrizioni di solito viaggiano insieme. Decidere di mantenere un tunnel funzionante è più facile che ricostruirlo dopo.