Per-app VPN på iOS: matche appens VPNUUID, ikke PayloadUUID

To UUID-verdier avgjør om én administrert iPhone-app kjører på per-app-tunnelen, og ingen av dem er identifikatoren til profilen som bærer dem. Appens VPNUUID-attributt må være lik VPNUUID inne i per-app VPN-nyttelasten. Den utrullede appen må også administreres av den samme enhetsadministrasjonstjenesten, og kommandoen du sender må faktisk bære attributtet. Gå gjennom de fire trinnene nedenfor i rekkefølge, fordi hvert trinn produserer en verdi som det neste trenger.

Samle fire identifikatorer før du rører enheten

Skriv ned fire verdier: bundle-identifikatoren fra administrasjonsoversikten din, identifikatoren til per-app VPN-nyttelasten, VPNUUID inne i den nyttelasten og identifikatoren til kommandoen du er i ferd med å sende. Bundle-identifikatoren navngir applikasjonen som mottar innstillingene, og etiketten på hjemmeskjermen er ingen erstatning for den. Hold PayloadUUID helt utenfor denne listen, siden den identifiserer en nyttelast inne i en profil og svarer på et annet spørsmål. Å sette den inn i stedet bare fordi begge feltene ser ut som UUID-er, er den vanligste måten å bygge en tilknytning som aldri kan matche.

Hvis VPN-administratoren ikke har gitt deg per-app-nyttelasten og identifikatoren dens, be om dem i stedet for å grave fram en UUID fra den nærmeste konfigurasjonsfilen.

Bruk attributtet gjennom administrasjonskanalen

Bekreft at målappen er administrert på den enheten, fordi en kjent bundle-identifikator ikke gjør en ikke-administrert installasjon kvalifisert for tilknytningen. Send deretter et innstillingselement av typen ApplicationAttributes via per-app VPN-tildelingen til produktet ditt eller dets støttede implementasjon av Settings-kommandoen. Elementet identifiserer appen med bundle-identifikatoren og bærer en Attributes-ordbok der VPNUUID samsvarer med nyttelasten. Ingenting i det elementet er en fullstendig kommandokonvolutt, og ingenting i det kan installeres som en profil for hånd.

Behandle fjerning like bevisst som installasjon. Skjemaet sier at hvis Attributes-ordboken utelates, fjernes appens eksisterende attributter, så en halvferdig oppdatering blir stille til en tilbakestilling. Kommandoen med det lignende navnet Managed Application Attributes leser attributter tilbake for verifisering; den setter dem ikke, og å bruke den som setter er et bortkastet utrullingsvindu.

Les kommandoresultatet, ikke appikonet

Sjekk kvitteringen for kommandoen du sendte, og bekreft at den administrerte appen nå rapporterer attributtet. Et VPN-merke i statuslinjen sier bare at det finnes en tunnel et sted på telefonen. Det kan ikke fortelle deg at nettopp denne appen er tildelt per-app-konfigurasjonen, og på en enhet der tunnelen åpnes on demand vises kanskje merket aldri. Sammenlign identifikatorer i tildelingen i stedet for å lete etter et visuelt tegn.

Hvis det finnes to per-app-konfigurasjoner på samme flåte, sammenlign identifikatorene deres før du antar at tildelingen din havnet i den tiltenkte.

Test med ressursen, og registrer deretter paret

La en autorisert bruker åpne den private ressursen fra den tildelte appen, og se om per-app-tunnelen kommer opp for den. Gjenta deretter fra en ikke-administrert app på samme telefon, og bekreft at behandlingen er forskjellig. Nettopp den kontrasten er den egentlige testen, fordi en fungerende privat ressurs også kunne vært nådd via en enhetsdekkende tunnel som ingen nevnte i endringsloggen. Registrer resultatet mens enheten er foran deg.

Oppbevar bundle-identifikatoren, nyttelastidentifikatoren, den delte VPNUUID og kommandoresultatet sammen, slik at neste undersøkelse starter fra de samme fire verdiene og ikke fra hukommelsen.

Rull tilbake uten følgeskader

For å fjerne tildelingen, send appattributtet på nytt med en tom Attributes-ordbok i den formen produktet ditt dokumenterer, i stedet for å fjerne appen fra kommandoen. Kontroller etterpå at appen ikke lenger åpner per-app-tunnelen, og at andre administrerte apper beholdt sin. Hvis samme telefon også har en enhetsdekkende VPN-profil, bekreft at den fortsatt oppfører seg som før tilbakerullingen, siden to VPN-konfigurasjoner på én enhet er der dette trinnet vanligvis går galt. Oppdater deretter registreringen du har ført.

En revisjon som spør hvorfor en bestemt app noen gang ble tunnellert, vil ha UUID-paret og en dato, ikke en beskrivelse av utrullingen.