Beheerde iPhone en VPN-instellingen: wat er echt verandert
Doorloop het scherm Apparaatbeheer, lees het profiel dat de tunnel bezit, en ontdek welke iOS VPN-opties alleen op een beheerd apparaat verschijnen.
Open Instellingen, dan Algemeen, dan VPN en apparaatbeheer, en lees wat de telefoon over zichzelf zegt. Apparaten die via Apple Business Manager of Apple School Manager zijn geregistreerd, vermelden hun organisatie op dat scherm, en die ene regel verklaart meer over de VPN-opties dan de meeste configuratiehandleidingen. Supervisie is een beheerstatus, geen VPN-functie, en het verandert welke schakelaars bestaan in plaats van welke server bereikbaar is. De status eerst lezen bespaart een tocht door drie submenu's op zoek naar een schakelaar die nooit zou verschijnen.
Begin waar de telefoon zijn beheerstatus meldt
Dat scherm somt elk configuratieprofiel op dat op het apparaat is geïnstalleerd, gegroepeerd per organisatie die het heeft geleverd. Een profiel met een VPN-payload is het object dat de tunneldefinitie bezit: het serveradres, de authenticatiemethode, de regels voor activering op aanvraag en of de gebruiker het mag bewerken of verwijderen.
Als de lijst leeg is op een zelf geïnstalleerde app na, wordt de telefoon niet beheerd in de zin die dit artikel bedoelt. Een VPN-client uit de App Store maakt zijn eigen instellingen via een systeemextensie, en hoe vaak u de profielenlijst ook doorzoekt, er verschijnt geen organisatiebeleid, omdat dat op dat apparaat niet bestaat.
Lees het profiel voordat u een schakelaar wijzigt
Tik op de profielnaam en lees de samenvatting van de payload voordat u iets aanraakt. Er staat het verbindingstype, de server en vaak of het profiel verwijderbaar is. Die drie feiten vertellen u wie het gedrag kan wijzigen en waar de correctie thuishoort. De aan/uit-schakelaar onder de VPN-rij wijzigen verandert het profiel niet, en de volgende beheercontrole kan de status precies terugzetten waar de organisatie hem wil.
Een profiel dat als niet-verwijderbaar is gemarkeerd, is een administratieve beslissing uitgedrukt als apparaatbeperking, geen fout om te omzeilen.
Waarom sommige VPN-schakelaars ontbreken
Activering op aanvraag, tunnelen per app en gedrag alleen met IKEv2 zitten achter beheer-API's, en verschillende daarvan vereisen supervisie naast beheer. Een persoonlijke telefoon met een handmatig geïnstalleerde client toont die bedieningselementen simpelweg niet, en het ontbreken ervan is geen bewijs van een kapotte app of een verouderde iOS-versie. Dezelfde iOS-versie toont verschillende opties op twee apparaten omdat de apparaten in verschillende staten verkeren.
De registratiemethode bepaalt die staat. Automatische apparaatregistratie via Apple Business Manager of Apple School Manager levert een beheerd apparaat op; een handmatig geïnstalleerd profiel niet, zelfs niet wanneer dezelfde MDM-server het heeft geleverd.
Wat supervisie toevoegt en wat het nog steeds niet kan
Supervisie verhoogt het plafond van wat een organisatie mag afdwingen in plaats van de tunnel zelf te wijzigen. Het maakt niet-verwijderbare profielen, extra beperkingen en beheerd tunnelen op app-niveau mogelijk, en het is de reden dat een apparaat verplicht kan worden een VPN actief te houden in plaats van de optie aan te bieden. De implementatiehandleiding van Apple beschrijft registratie en beheer als de route naar die mogelijkheden.
Het maakt een specifieke VPN-aanbieder niet betrouwbaar, en het verandert een slecht uitgegeven certificaat niet in een werkende verbinding. Supervisie is een uitspraak over wie het apparaat mag configureren, geen kwaliteitskeurmerk op de dienst waarmee verbinding wordt gemaakt.
| What the phone shows | What it means for the tunnel |
|---|---|
| Profile from an organization with a VPN payload | The organization defines the connection and may reapply it |
| No organization profile, client installed from the App Store | Personal configuration, no supervision involved |
| Organization named on the management screen with enforced settings | Supervised enrolment; removal and editing are restricted |
Versieverschillen doen er hier ook toe: een bedieningselement dat in de nieuwste versie verschijnt, is mogelijk alleen voor beheerde apparaten gedocumenteerd, en een apparaat dat twee hoofdversies achterloopt is niet de referentie voor hoe de instelling eruit hoort te zien.
Verlaat het apparaat via de ondersteunde route
Wanneer het apparaat niet meer beheerd moet worden, of wanneer een profiel een fout bevat, hoort de correctie bij het uitfaseren of opnieuw uitgeven van de beheerder. Het wissen van de telefoon maakt hem niet automatisch vrij van een automatische registratietoewijzing, dus het apparaat kan na een herstel geconfigureerd en beheerd terugkomen.
Leg de herstelgegevens vast vóór elke geautoriseerde herstelactie, en verwacht dat het verwijderen van een profiel meer meeneemt dan alleen de VPN: certificaten, Wi-Fi-referenties en beperkingen reizen meestal samen. Besluiten een werkende tunnel te behouden is eenvoudiger dan hem later opnieuw op te bouwen.