iPhone vraagt om VPN-configuratie toe te staan: controleer voordat u tikt

U hebt iets in een VPN-app aangetikt, en iOS antwoordde met een dialoog die u niet verwachtte: de app wil VPN-configuraties toevoegen, met ‘Niet toestaan’ en ‘Toestaan’ eronder. Die dialoog is de routingtoestemming van het systeem, en hij verschijnt één keer per configuratie die de app probeert te installeren. Sta het toe wanneer u de app hebt geopend en van plan was te verbinden; tik op ‘Niet toestaan’ wanneer het verzoek kwam terwijl u iets anders deed, en zoek daarna uit wat het op het scherm bracht. Niets in de formulering vertelt u of de provider vertrouwen verdient — het legt alleen vast dat iOS een deel van de netwerkstack aan deze app gaat overdragen.

Wat iOS u vraagt goed te keuren

Een gewone app kan het pakketpad niet aanraken. Een VPN-client moet zijn gebouwd op Apples NetworkExtension-framework en ondertekend zijn met het Personal VPN-recht; wanneer hij een tunnel wil, maakt hij een configuratieobject en vraagt het systeem dat op te slaan, en precies die opslagaanroep brengt de dialoog in beeld. De formulering verandert tussen releases — nieuwere zeggen VPN-configuraties toevoegen, oudere zeggen een VPN-configuratie toevoegen — maar de betekenis staat vast: een app die u hebt geïnstalleerd wil een blijvende vermelding in Instellingen > Algemeen > VPN en Apparaatbeheer.

De vermelding is ontworpen om blijvend te zijn. Ze overleeft crashes en herstarts van de app, kan opnieuw verbinden terwijl de app gesloten is, en kan regels voor verbinden op verzoek dragen die de tunnel opzetten wanneer u lid wordt van een netwerk. Dat is precies waarom iOS vraagt in plaats van het gewoon te doen, en daarom wordt het antwoord bewaard in plaats van bij elke verbinding opnieuw gevraagd.

Lees de dialoog voordat u op ‘Toestaan’ tikt

Behandel de dialoog als een bewering die u in een paar seconden kunt controleren. Stop bij het eerste punt dat niet klopt.

• De naam in de dialoog komt overeen met een app die u hebt geïnstalleerd. Een dialoog die aan iets wordt toegeschreven dat u niet herkent, is een reden om op ‘Niet toestaan’ te tikken en verder te zoeken, niet iets om uit te proberen.
• U was in die app toen hij verscheen. De eerste instelling en de verbindingsknoppen zijn de gebruikelijke triggers.
• De app is niet net zonder u bijgewerkt of opnieuw geïnstalleerd. Een nieuwe versie kan een configuratie toevoegen en opnieuw vragen.
• Niemand vraagt om uw Apple ID, een kaartnummer of een code uit een bericht. De VPN-dialoog wil die nooit, dus een dialoog die erom vraagt is een andere dialoog.

Wanneer alle vier voorwaarden gelden, is ‘Toestaan’ een redelijk antwoord voor een provider die u bewust hebt gekozen. Als u twijfelt, tik op ‘Niet toestaan’; de app vraagt het de volgende keer dat hij opslaat opnieuw, en u verliest niets door een uur te wachten.

Verifieer de configuratie nadat u hebt toegestaan

De goedkeuring begint de controle, ze beëindigt die niet. Open Instellingen > Algemeen > VPN en Apparaatbeheer en kijk naar het VPN-blok. U zou één rij moeten zien die is vernoemd naar de app of het profiel dat hij heeft geïnstalleerd, met een statusregel en een infoknop. Tik op die knop om het serveradres, de accountnaam als die er is, en of ‘Verbinden op verzoek’ is ingeschakeld te lezen.

Bepaal dan van wie die rij is. Een persoonlijke VPN die u vanuit een app hebt gemaakt, is van u om te bewerken en te verwijderen; een rij die zegt dat een organisatie hem beheert is dat niet, en het verwijderen ervan loopt via degene die het apparaat heeft ingeschreven. Beide zien betekent dat twee verschillende instanties het apparaat delen, en u zou moeten weten welke op dit moment uw verkeer draagt.

Laatste stap: verbind één keer en bevestig dat het verkeer echt de tunnel volgt. Laad een pagina die uw openbare adres toont en controleer dat het adres bij de provider hoort, niet bij uw thuisverbinding. Als de rij ‘Verbonden’ zegt en het adres niet is veranderd, is de configuratie geïnstalleerd maar routeert hij niet, en de oplossing zit in de instellingen op dat infoscherm, niet in de app.

Wat de goedkeuring dekt en wat niet

Toestaan geeft de app de mogelijkheid verkeer onder zijn configuratie te routeren. Dat is een grote toestemming in de ene richting en een smalle in de andere. De app kan uw pakketten via zijn servers sturen en de metadata zien die eraan hangt: welke adressen u hebt benaderd, wanneer en hoeveel er is verplaatst. Hij kan de binnenkant van een HTTPS-sessie niet lezen en krijgt niet uw foto's, berichten, microfoon of Apple ID.

De dekking is ook smaller dan ‘alles’. Een configuratie kan al het verkeer of alleen sommige bestemmingen routeren, en tunnelen per app — waarbij alleen genoemde apps de tunnel gebruiken — wordt geregeld door een apparaatbeheerder, niet door op ‘Toestaan’ te tikken. iOS houdt één persoonlijke VPN-verbinding tegelijk actief, zelfs wanneer meerdere configuraties worden vermeld, dus een tweede app kan niet stil overnemen van de eerste terwijl die verbonden is.

Trek het netjes in wanneer u stopt met het gebruik van de dienst

De app verwijderen is geen betrouwbare manier om de configuratie te verwijderen. Controleer de VPN-lijst zelf en verwijder de rij op het infoscherm als die er nog staat. Op een apparaat dat u uitfasert, doet u ook de accountkant: log uit in het dashboard van de provider of trek het apparaat daar in, want een verwijderde lokale rij doet niets met een sessie die de server nog als geldig beschouwt.

Beheerde apparaten zijn de uitzondering. Wanneer de rij zegt dat een organisatie hem heeft geïnstalleerd, mislukt een lokale verwijdering of wordt die bij de volgende check-in teruggedraaid, en alleen het eigen verwijderingsproces van de organisatie blijft staan.

Wanneer de dialoog blijft terugkomen

Een herhaalde dialoog betekent meestal dat de configuratie opnieuw wordt aangemaakt, niet dat de eerste goedkeuring is mislukt. De gebruikelijke oorzaken: de app schrijft bij elke start een nieuwe configuratie en iOS behandelt die als nieuw, een regel voor verbinden op verzoek heeft de oude vermelding laten vallen, een profiel is opnieuw geïnstalleerd door een apparaatbeheerder, of er zijn meerdere configuraties en de app vraagt naar een die u nooit hebt opgemerkt.

Tel eerst de rijen. Als de lijst groeit elke keer dat u de app opent, hergebruikt de app zijn configuratie niet en hoort de oplossing bij de ontwikkelaar of bij een schone herinstallatie. Als de lijst op één blijft en de dialoog toch terugkomt, zoek dan een beheerprofiel dat hem opnieuw installeert — dat is een beleidskwestie, geen fout die u weg kunt tikken.

Voordat u verdergaat, bevestigt u drie dingen: de rij in Instellingen is degene die u hebt goedgekeurd, het adres dat u verbonden ziet hoort bij de provider, en de accountkant is ingetrokken als u klaar bent met de dienst. Die drie dekken wat de dialoog heeft verleend, wat hij nu doet en wat hij blijft doen nadat het apparaat uw handen verlaat.