Overvåket iPhone og VPN-innstillinger: hva som faktisk endres
Gå gjennom skjermen Enhetsadministrasjon, les profilen som eier tunnelen, og lær hvilke iOS VPN-alternativer som bare vises på en overvåket enhet.
Åpne Innstillinger, deretter Generelt, deretter VPN og enhetsadministrasjon, og les hva telefonen sier om seg selv. Enheter som er registrert via Apple Business Manager eller Apple School Manager, oppgir organisasjonen sin på den skjermen, og den ene linjen forklarer mer om VPN-alternativene enn de fleste konfigurasjonsveiledninger gjør. Overvåking er en administrasjonstilstand, ikke en VPN-funksjon, og den endrer hvilke brytere som finnes, ikke hvilken server som er tilgjengelig. Å lese tilstanden først sparer en runde gjennom tre undermenyer på jakt etter en bryter som aldri ville dukke opp.
Start der telefonen rapporterer administrasjonstilstanden sin
Den skjermen lister opp hver konfigurasjonsprofil som er installert på enheten, gruppert etter organisasjonen som leverte den. En profil med en VPN-nyttelast er objektet som eier tunneldefinisjonen: serveradressen, autentiseringsmetoden, reglene for aktivering på forespørsel og hvorvidt brukeren kan redigere eller fjerne den.
Hvis listen er tom bortsett fra en app du installerte selv, administreres ikke telefonen i den betydningen denne artikkelen mener. En VPN-klient fra App Store lager sine egne innstillinger gjennom en systemutvidelse, og uansett hvor mye du søker i profillisten, dukker det ikke opp noen organisasjonspolicy, fordi det ikke finnes noen på den enheten.
Les profilen før du endrer noen bryter
Trykk på profilnavnet og les sammendraget av nyttelasten før du berører noe. Det oppgir tilkoblingstypen, serveren og ofte om profilen kan fjernes. Disse tre faktaene forteller deg hvem som kan endre atferden og hvor rettelsen hører hjemme. Å endre av/på-bryteren under VPN-raden endrer ikke profilen, og neste administrasjonssjekk kan sette tilstanden nøyaktig tilbake dit organisasjonen vil ha den.
En profil som er merket som ikke-fjernbar, er en administrativ beslutning uttrykt som en enhetsbegrensning, ikke en feil man skal omgå.
Hvorfor noen VPN-brytere mangler
Aktivering på forespørsel, tunnellering per app og atferd kun med IKEv2 ligger bak administrasjons-API-er, og flere av dem krever overvåking i tillegg til administrasjon. En personlig telefon med en manuelt installert klient viser rett og slett ikke disse kontrollene, og at de mangler er ikke bevis på en ødelagt app eller en utdatert iOS-versjon. Samme iOS-versjon viser forskjellige alternativer på to enheter fordi enhetene er i forskjellige tilstander.
Registreringsmetoden avgjør den tilstanden. Automatisk enhetsregistrering via Apple Business Manager eller Apple School Manager gir en overvåket enhet; en manuelt installert profil gjør det ikke, selv når den samme MDM-serveren leverte den.
Hva overvåking tilfører og hva den fortsatt ikke kan
Overvåking hever taket for hva en organisasjon kan håndheve i stedet for å endre selve tunnelen. Den muliggjør ikke-fjernbare profiler, flere begrensninger og administrert tunnellering på appnivå, og den er grunnen til at en enhet kan pålegges å holde en VPN aktiv i stedet for å tilby valget. Apples distribusjonsveiledning beskriver registrering og administrasjon som veien til disse egenskapene.
Den gjør ikke en bestemt VPN-operatør pålitelig, og den gjør ikke et dårlig utstedt sertifikat om til en fungerende tilkobling. Overvåking er en erklæring om hvem som kan konfigurere enheten, ikke et kvalitetsmerke på tjenesten det kobles til.
| What the phone shows | What it means for the tunnel |
|---|---|
| Profile from an organization with a VPN payload | The organization defines the connection and may reapply it |
| No organization profile, client installed from the App Store | Personal configuration, no supervision involved |
| Organization named on the management screen with enforced settings | Supervised enrolment; removal and editing are restricted |
Versjonsforskjeller betyr noe her også: en kontroll som dukker opp i den nyeste versjonen, kan være dokumentert bare for overvåkede enheter, og en enhet to hovedversjoner bakover er ikke referansen for hvordan innstillingen skal se ut.
Forlat enheten via den støttede veien
Når enheten skal slutte å administreres, eller når en profil inneholder en feil, hører rettelsen til administratorens avviklings- eller gjenutstedelsesprosess. Sletting av telefonen frigjør den ikke nødvendigvis fra en automatisk registreringstildeling, så enheten kan komme tilbake konfigurert og overvåket etter en tilbakestilling.
Registrer gjenopprettingsinformasjonen før enhver autorisert tilbakestilling, og forvent at fjerning av en profil tar med seg mer enn VPN: sertifikater, Wi-Fi-legitimasjon og begrensninger reiser vanligvis sammen. Å bestemme seg for å beholde en fungerende tunnel er enklere enn å gjenoppbygge den etterpå.