iPhone ber om å tillate VPN-konfigurasjon: sjekk før du trykker

Du trykket på noe i en VPN-app, og iOS svarte med en dialog du ikke forventet: appen vil legge til VPN-konfigurasjoner, med «Ikke tillat» og «Tillat» under. Den dialogen er systemets rutertillatelse, og den vises én gang for hver konfigurasjon appen prøver å installere. Tillat den når du åpnet appen og mente å koble til; trykk «Ikke tillat» når forespørselen kom mens du gjorde noe annet, og finn deretter ut hva som fikk den opp på skjermen. Ingenting i formuleringen forteller deg om leverandøren fortjener tillit — den registrerer bare at iOS er i ferd med å overlate en del av nettverksstakken til denne appen.

Hva iOS ber deg godkjenne

En vanlig app kan ikke røre pakkestien. En VPN-klient må bygges på Apples NetworkExtension-rammeverk og signeres med Personal VPN-rettigheten; når den vil ha en tunnel, lager den et konfigurasjonsobjekt og ber systemet lagre det, og nettopp det lagringskallet reiser dialogen. Formuleringen skifter mellom versjoner — nyere sier legg til VPN-konfigurasjoner, eldre sier legg til en VPN-konfigurasjon — men betydningen er fast: en app du har installert vil ha en permanent oppføring i Innstillinger > Generelt > VPN og enhetsadministrasjon.

Oppføringen er permanent av design. Den overlever appkrasj og omstarter, den kan koble til på nytt mens appen er lukket, og den kan bære regler for tilkobling ved behov som reiser tunnelen når du blir med i et nettverk. Det er nettopp derfor iOS spør i stedet for bare å gjøre det, og derfor lagres svaret i stedet for å spørres om igjen ved hver tilkobling.

Les dialogen før du trykker «Tillat»

Behandle dialogen som en påstand du kan sjekke på noen sekunder. Stopp ved det første punktet som ikke holder.

• Navnet i dialogen samsvarer med en app du har installert. En dialog som tilskrives noe du ikke kjenner igjen, er en grunn til å trykke «Ikke tillat» og lete videre, ikke noe å teste.
• Du var inne i den appen da den dukket opp. Førstegangsoppsett og koble til-knapper er de vanlige utløserne.
• Appen er ikke nettopp oppdatert eller reinstalert uten deg. En ny versjon kan legge til en konfigurasjon og spørre igjen.
• Ingen ber om Apple-ID-en din, et kortnummer eller en kode fra en melding. VPN-dialogen vil aldri ha disse, så en dialog som ber om dem, er en annen dialog.

Når alle fire holder, er «Tillat» et rimelig svar for en leverandør du bevisst har valgt. Hvis du er usikker, trykk «Ikke tillat»; appen spør igjen neste gang den lagrer, og du taper ingenting på å vente en time.

Bekreft konfigurasjonen etter at du har tillatt

Godkjenningen starter kontrollen, den avslutter den ikke. Åpne Innstillinger > Generelt > VPN og enhetsadministrasjon og se på VPN-blokken. Du bør se én rad oppkalt etter appen eller profilen den installerte, med en statuslinje og en informasjonsknapp. Trykk på den knappen for å lese serveradressen, kontonavnet hvis det finnes, og om «Koble til ved behov» er slått på.

Avgjør så hvem sin rad det er. En personlig VPN du opprettet fra en app, er din å redigere og slette; en rad som sier at en organisasjon administrerer den, er det ikke, og fjerningen går gjennom den som registrerte enheten. Å se begge betyr at to ulike myndigheter deler enheten, og du bør vite hvilken som bærer trafikken din akkurat nå.

Siste trinn: koble til én gang og bekreft at trafikken virkelig følger tunnelen. Last en side som viser din offentlige adresse, og sjekk at adressen tilhører leverandøren, ikke hjemmeforbindelsen din. Hvis raden sier «Tilkoblet» og adressen ikke har endret seg, er konfigurasjonen installert, men ruteren ikke, og rettelsen ligger i innstillingene på den informasjonsskjermen, ikke i appen.

Hva godkjenningen dekker, og hva den ikke gjør

Å tillate gir appen evnen til å rute trafikk under konfigurasjonen sin. Det er en stor tillatelse i én retning og en smal i den andre. Appen kan sende pakkene dine gjennom sine servere og kan se metadataene som henger ved dem: hvilke adresser du kontaktet, når og hvor mye som flyttet seg. Den kan ikke lese innsiden av en HTTPS-økt, og den får ikke bildene, meldingene, mikrofonen eller Apple-ID-en din.

Dekningen er også smalere enn «alt». En konfigurasjon kan rute all trafikk eller bare noen destinasjoner, og tunneldeling per app — der bare navngitte apper bruker tunnelen — ordnes av en enhetsadministrator, ikke ved å trykke «Tillat». iOS holder bare én personlig VPN-tilkobling aktiv om gangen selv når flere konfigurasjoner er listet, så en andre app kan ikke stille overta fra den første mens den er tilkoblet.

Tilbakekall den ordentlig når du slutter å bruke tjenesten

Å slette appen er ikke en pålitelig måte å fjerne konfigurasjonen. Sjekk VPN-listen selv, og slett raden fra informasjonsskjermen hvis den fortsatt er der. På en enhet du faser ut, gjør også konto-siden: logg ut i leverandørens dashbord eller tilbakekall enheten der, for en slettet lokal rad gjør ingenting med en økt som serveren fortsatt anser som gyldig.

Administrerte enheter er unntaket. Når raden sier at en organisasjon installerte den, mislykkes en lokal sletting eller blir rullet tilbake ved neste innsjekk, og bare organisasjonens egen fjerningsprosess vil holde.

Når dialogen fortsetter å komme tilbake

En gjentatt dialog betyr vanligvis at konfigurasjonen opprettes på nytt, ikke at den første godkjenningen mislyktes. De vanlige årsakene: appen skriver en ny konfigurasjon ved hver oppstart og iOS behandler den som ny, en regel for tilkobling ved behov slapp den gamle oppføringen, en profil ble reinstalert av en enhetsadministrator, eller det finnes flere konfigurasjoner og appen spør om en du aldri la merke til.

Tell radene først. Hvis listen vokser hver gang du åpner appen, bruker appen ikke konfigurasjonen sin på nytt, og rettelsen hører til utvikleren eller en ren reinstallasjon. Hvis listen blir stående på én og dialogen likevel kommer tilbake, se etter en administrasjonsprofil som reinstallerer den — det er et policy-spørsmål, ikke en feil du kan trykke bort.

Før du går videre, bekreft tre ting: raden i Innstillinger er den du godkjente, adressen du ser mens du er tilkoblet tilhører leverandøren, og konto-siden er tilbakekalt hvis du er ferdig med tjenesten. De tre dekker hva dialogen ga, hva den gjør nå, og hva den vil fortsette å gjøre etter at enheten forlater hendene dine.