Per-app VPN op iOS: laat de VPNUUID van de app overeenkomen, niet de PayloadUUID

Twee UUID-waarden bepalen of één beheerde iPhone-app door de per-app-tunnel gaat, en geen van beide is de identificatie van het profiel dat ze draagt. Het attribuut VPNUUID van de app moet gelijk zijn aan de VPNUUID in de per-app VPN-payload. De uitgerolde app moet ook door dezelfde apparaatbeheerdienst worden beheerd, en het commando dat je stuurt moet het attribuut daadwerkelijk meedragen. Doorloop de vier onderstaande fasen in volgorde, want elk levert een waarde op die de volgende fase nodig heeft.

Verzamel vier identificaties voordat je het apparaat aanraakt

Noteer vier waarden: de bundelidentificatie uit je beheerinventaris, de identificatie van de per-app VPN-payload, de VPNUUID in die payload en de identificatie van het commando dat je op het punt staat te sturen. De bundelidentificatie benoemt de applicatie die de instellingen ontvangt, en het label op het beginscherm is geen vervanging. Houd PayloadUUID volledig buiten deze lijst, omdat het een payload binnen een profiel aanduidt en een andere vraag beantwoordt. Het daarvoor in de plaats zetten omdat beide velden op UUID's lijken, is de meest voorkomende manier om een koppeling te bouwen die nooit kan kloppen.

Als de VPN-beheerder je de per-app-payload en de identificatie ervan niet heeft gegeven, vraag er dan om in plaats van een UUID uit welk configuratiebestand dan ook te schrapen.

Pas het attribuut toe via het beheerkanaal

Bevestig dat de doelapp op dat apparaat wordt beheerd, want een bekende bundelidentificatie maakt een niet-beheerde installatie nog niet geschikt voor de koppeling. Stuur daarna een instellingenitem van het type ApplicationAttributes via de per-app VPN-toewijzing van je product of de ondersteunde implementatie van het Settings-commando. Het item identificeert de app via de bundelidentificatie en draagt een Attributes-woordenboek waarvan de VPNUUID bij de payload past. Niets in dat item is een volledige commando-envelop, en niets erin kan met de hand als profiel worden geïnstalleerd.

Behandel verwijderen even bewust als installeren. Het schema zegt dat het weglaten van het Attributes-woordenboek de bestaande attributen van de app verwijdert, dus een half gebouwde update wordt stilletjes een reset. Het gelijknamige commando Managed Application Attributes leest attributen terug voor verificatie; het stelt ze niet in, en het als setter gebruiken is een verspild uitrolvenster.

Lees het commandoresultaat, niet het app-pictogram

Controleer de bevestiging van het verzonden commando en bevestig dat de beheerde app het attribuut nu rapporteert. Een VPN-badge in de statusbalk zegt alleen dat er ergens op de telefoon een tunnel bestaat. Hij kan je niet vertellen dat juist deze app aan de per-app-configuratie is toegewezen, en op een apparaat waar de tunnel op verzoek opent verschijnt de badge mogelijk nooit. Vergelijk identificaties in de toewijzing in plaats van naar een visuele aanwijzing te zoeken.

Als er twee per-app-configuraties in dezelfde vloot bestaan, vergelijk dan hun identificaties voordat je aanneemt dat je toewijzing in de bedoelde is beland.

Test met de resource en leg daarna het paar vast

Laat een bevoegde gebruiker de privéresource openen vanuit de toegewezen app en kijk of de per-app-tunnel daarvoor opkomt. Herhaal daarna vanuit een niet-beheerde app op dezelfde telefoon en bevestig dat de behandeling anders is. Precies dat contrast is de echte test, want een werkende privéresource had ook bereikt kunnen worden via een apparaatbrede tunnel die niemand in het wijzigingsrecord noemde. Leg het resultaat vast terwijl het apparaat voor je ligt.

Bewaar de bundelidentificatie, de payloadidentificatie, de gedeelde VPNUUID en het commandoresultaat bij elkaar, zodat het volgende onderzoek van dezelfde vier waarden begint en niet van het geheugen.

Draai terug zonder bijkomende schade

Stuur om de toewijzing te verwijderen het app-attribuut opnieuw met een leeg Attributes-woordenboek in de vorm die je product documenteert, in plaats van de app uit het commando te halen. Controleer daarna dat de app de per-app-tunnel niet meer opent en dat andere beheerde apps de hunne hebben behouden. Als dezelfde telefoon ook een apparaatbreed VPN-profiel heeft, bevestig dan dat het zich nog gedraagt als vóór de terugdraaiing, want twee VPN-configuraties op één apparaat is waar deze stap meestal misgaat. Werk daarna het register bij dat je hebt bijgehouden.

Een audit die vraagt waarom een bepaalde app ooit werd getunneld, wil het UUID-paar en een datum, geen beschrijving van de uitrol.