iPhone が VPN 構成の許可を求める：タップ前に確認を

VPN アプリで何かをタップすると、iOS が予期しないダイアログ、つまりアプリが VPN 構成を追加しようとしていてその下に「許可しない」と「許可」があるダイアログで応答しました。このダイアログはシステムの経路制御の許可であり、アプリがインストールしようとする構成ごとに一度だけ表示されます。アプリを開いて接続するつもりだったときは許可し、別のことをしている最中に要求が来た場合は「許可しない」をタップして、何がそれを画面に出したのかを突き止めてください。文言のどこにも そのプロバイダーが信頼に値するかどうか は書かれておらず、このダイアログは iOS がネットワークスタックの一部をこのアプリに渡そうとしていることだけを記録します。

iOS が承認を求めているもの

通常のアプリはパケットの経路に触れられません。VPN クライアントは Apple の NetworkExtension フレームワーク上に構築され、Personal VPN のエンタイトルメントで署名されている必要があり、トンネルが必要になると構成オブジェクトを作成してシステムに保存を要求しますが、その保存呼び出しがダイアログを表示させます。文言はリリースによって変わり、新しいものは「VPN 構成を追加」、古いものは「VPN 構成を追加」と言いますが、意味は固定であり、インストールしたアプリが設定 > 一般 > VPN とデバイス管理 に常設の項目を求めています。

この項目は設計上常設です。アプリのクラッシュや再起動を越えて残り、アプリが閉じていても再接続でき、ネットワークに接続したときにトンネルを立ち上げるオンデマンドのルールを保持できます。iOS が単に行わずに尋ねるのはまさにこのためであり、接続のたびに尋ね直すのではなく答えを保存するのもこのためです。

「許可」をタップする前にダイアログを読む

ダイアログは数秒で確認できる主張として扱ってください。最初に当てはまらない項目で止まります。

• ダイアログの名前は、インストールしたアプリと一致します。見覚えのない何かに帰せられたダイアログは、「許可しない」をタップして調べ続ける理由であり、試すべきものではありません。
• 表示されたとき、あなたはそのアプリの中にいました。初回設定と接続ボタンが通常のきっかけです。
• アプリがちょうど、あなたの関与なしに更新や再インストールされたわけではありません。新しいバージョンは構成を追加して再び尋ねることがあります。
• Apple ID、カード番号、メッセージのコードを求めている人はいません。VPN のダイアログがそれらを求めることは決してないので、求めるダイアログは別のダイアログです。

四つの条件がすべて当てはまるなら、意図して選んだプロバイダーに対して「許可」は妥当な答えです。確信が持てないなら「許可しない」をタップしてください——アプリは次に保存するときに再び尋ねるので、一時間待っても失うものはありません。

許可した後に構成を検証する

承認は確認を始めるだけで、終わらせません。設定 > 一般 > VPN とデバイス管理 を開き、VPN のブロックを見てください。アプリまたはそれがインストールしたプロファイルの名前を持つ行が一つ、状態の行と情報ボタンとともに表示されるはずです。そのボタンをタップして、サーバーのアドレス、アカウント名があればそれ、そして「オンデマンド接続」がオンかどうかを読んでください。

次に、その行が誰のものかを決めます。アプリから作成した個人用 VPN はあなたのもので編集も削除もできますが、組織が管理していると書かれた行はそうではなく、その削除はデバイスを登録した人を通ります。両方が見えるということは、二つの異なる権限がデバイスを共有しているということであり、どちらが今あなたの通信を運んでいるかを知っておくべきです。

最後の手順として、一度接続し、通信が本当にトンネルを通っていることを確認してください。あなたの公開アドレスを表示するページを読み込み、そのアドレスが自宅の回線ではなくプロバイダーのものかを確かめます。行が「接続済み」と表示しているのにアドレスが変わっていないなら、構成はインストールされているが経路制御していないのであり、修正はアプリではなくその情報画面の設定にあります。

承認が覆うものと覆わないもの

許可すると、アプリは自分の構成の下で通信を経路制御する能力を得ます。これは一方向では大きな許可であり、もう一方向では狭いものです。アプリはあなたのパケットを自社のサーバー経由で送れ、どのアドレスに連絡したか、いつ、どれだけ流れたかといった付随するメタデータを見られます。HTTPS セッションの内部を読むことはできず、写真、メッセージ、マイク、Apple ID を得ることもありません。

範囲は「すべて」よりも狭く、構成はすべての通信を経路制御することも、一部の宛先だけを対象にすることもできます。また、アプリ単位のトンネリング、つまり名前を挙げたアプリだけがトンネルを使う構成は、デバイス管理によって整えられるもので、「許可」をタップして得るものではありません。iOS は複数の構成が一覧にあっても、個人用 VPN 接続を同時に一つだけ有効に保つので、二つ目のアプリが接続中の一つ目から黙って引き継ぐことはできません。

サービスを使わなくなったら適切に取り消す

アプリを削除することは、構成を取り除く確実な方法ではありません。VPN の一覧を自分で確認し、行がまだあればその情報画面から削除してください。手放すデバイスではアカウント側も行い、プロバイダーのダッシュボードでサインアウトするか、そこでデバイスを取り消してください——削除したローカルの行は、サーバーがまだ有効とみなしているセッションには何の効果もありません。

管理対象のデバイスは例外です。行が組織によってインストールされたと表示している場合、ローカルでの削除は失敗するか、次のチェックインで取り消されます——残るのは組織自身の削除手順だけです。

ダイアログが繰り返し戻ってくるとき

繰り返されるダイアログは通常、最初の承認が失敗したのではなく、構成が作り直されていることを意味します。よくある原因は、アプリが起動のたびに新しい構成を書き、iOS がそれを新規として扱うこと、オンデマンドのルールが古い項目を落としたこと、プロファイルがデバイス管理によって再インストールされたこと、複数の構成があり、アプリが気づかなかったものについて尋ねていることです。

まず行の数を数えてください。アプリを開くたびに一覧が増えるなら、アプリは自分の構成を再利用しておらず、修正は開発者かクリーンな再インストールの側にあります。一覧が一つにとどまるのにダイアログが戻るなら、それを再インストールしている管理プロファイルを探してください——それはポリシーの問題であり、タップで消せる不具合ではありません。

先に進む前に三つを確認してください。設定の行が承認したものであること、接続中に見えるアドレスがプロバイダーのものであること、サービスを終えたならアカウント側が取り消されていることです——この三つが、ダイアログが与えたもの、今していること、デバイスがあなたの手を離れた後も続けることを覆います。