Nadzorowany iPhone i ustawienia VPN: co naprawdę się zmienia
Przejdź ekran Zarządzanie urządzeniem, przeczytaj profil, który posiada tunel, i dowiedz się, które opcje VPN w iOS pojawiają się tylko na nadzorowanym urządzeniu.
Otwórz Ustawienia, potem Ogólne, potem VPN i zarządzanie urządzeniem, i przeczytaj, co telefon mówi o sobie. Urządzenia zarejestrowane przez Apple Business Manager lub Apple School Manager podają na tym ekranie swoją organizację, a ta jedna linia wyjaśnia o opcjach VPN więcej niż większość przewodników konfiguracji. Nadzór to stan zarządzania, a nie funkcja VPN, i zmienia to, jakie przełączniki istnieją, a nie który serwer jest osiągalny. Przeczytanie stanu najpierw oszczędza przechodzenia przez trzy podmenu w poszukiwaniu przełącznika, który nigdy miał się nie pojawić.
Zacznij tam, gdzie telefon zgłasza swój stan zarządzania
Ten ekran wymienia każdy profil konfiguracji zainstalowany na urządzeniu, pogrupowany według organizacji, która go dostarczyła. Profil zawierający ładunek VPN jest obiektem, który posiada definicję tunelu: jego adres serwera, metodę uwierzytelniania, reguły aktywacji na żądanie i to, czy użytkownik może go edytować lub usunąć.
Jeśli lista jest pusta poza aplikacją zainstalowaną samodzielnie, telefon nie jest zarządzany w znaczeniu, które ma na myśli ten artykuł. Klient VPN z App Store tworzy własne ustawienia przez rozszerzenie systemowe, i choćby przeszukiwać listę profili, polityka organizacji się nie pojawi, bo na tym urządzeniu jej nie ma.
Przeczytaj profil, zanim zmienisz jakikolwiek przełącznik
Dotknij nazwy profilu i przeczytaj podsumowanie ładunku, zanim czegokolwiek dotkniesz. Podaje typ połączenia, serwer i często to, czy profil można usunąć. Te trzy fakty mówią, kto może zmienić zachowanie i gdzie należy poprawka. Zmiana przełącznika włączania/wyłączania pod wierszem VPN nie modyfikuje profilu, a następna kontrola zarządzania może przywrócić stan dokładnie tam, gdzie chce go organizacja.
Profil oznaczony jako nieusuwalny to decyzja administracyjna wyrażona jako ograniczenie urządzenia, a nie błąd do obejścia.
Dlaczego brakuje niektórych przełączników VPN
Aktywacja na żądanie, tunelowanie dla poszczególnych aplikacji i zachowanie tylko przez IKEv2 znajdują się za interfejsami API zarządzania, a kilka z nich wymaga nadzoru oprócz zarządzania. Prywatny telefon z ręcznie zainstalowanym klientem po prostu nie pokazuje tych elementów sterujących, a ich brak nie jest dowodem zepsutej aplikacji ani przestarzałej wersji iOS. Ta sama wersja iOS pokazuje różne opcje na dwóch urządzeniach, ponieważ urządzenia są w różnych stanach.
Sposób rejestracji decyduje o tym stanie. Automatyczna rejestracja urządzenia przez Apple Business Manager lub Apple School Manager tworzy urządzenie nadzorowane; profil zainstalowany ręcznie tego nie robi, nawet gdy dostarczył go ten sam serwer MDM.
Co dodaje nadzór i czego nadal nie potrafi
Nadzór podnosi pułap tego, co organizacja może wymusić, zamiast zmieniać sam tunel. Umożliwia nieusuwalne profile, dodatkowe ograniczenia i zarządzane tunelowanie na poziomie aplikacji, i właśnie dlatego urządzenie można zobowiązać do utrzymywania aktywnego VPN zamiast oferowania tej opcji. Przewodnik wdrożeniowy Apple opisuje rejestrację i zarządzanie jako drogę do tych możliwości.
Nie czyni zaufanym konkretnego operatora VPN i nie zamienia źle wydanego certyfikatu w działające połączenie. Nadzór to stwierdzenie o tym, kto może konfigurować urządzenie, a nie znak jakości usługi, z którą się łączysz.
| What the phone shows | What it means for the tunnel |
|---|---|
| Profile from an organization with a VPN payload | The organization defines the connection and may reapply it |
| No organization profile, client installed from the App Store | Personal configuration, no supervision involved |
| Organization named on the management screen with enforced settings | Supervised enrolment; removal and editing are restricted |
Różnice wersji też tu mają znaczenie: element sterujący, który pojawia się w najnowszej wersji, może być udokumentowany tylko dla urządzeń nadzorowanych, a urządzenie dwa główne wydania wstecz nie jest punktem odniesienia dla tego, jak ustawienie powinno wyglądać.
Wyjdź wspieraną drogą
Gdy urządzenie ma przestać być zarządzane, lub gdy profil zawiera błąd, poprawka należy do procesu wycofania lub ponownego wydania przez administratora. Wymazanie telefonu niekoniecznie zwalnia go z automatycznego przypisania rejestracji, więc urządzenie może wrócić skonfigurowane i nadzorowane po resecie.
Zapisz informacje o odzyskiwaniu przed każdym autoryzowanym resetem i spodziewaj się, że usunięcie profilu zabierze więcej niż VPN: certyfikaty, dane logowania Wi-Fi i ograniczenia zwykle podróżują razem. Decyzja o zachowaniu działającego tunelu jest łatwiejsza niż jego późniejsze odtworzenie.