iPhone supervisionado e ajustes de VPN: o que realmente muda
Percorra a tela Gerenciamento de Dispositivos, leia o perfil que possui o túnel e descubra quais opções de VPN do iOS só aparecem em um dispositivo supervisionado.
Abra Ajustes, depois Geral, depois VPN e Gerenciamento de Dispositivos, e leia o que o telefone diz sobre si mesmo. Dispositivos inscritos pelo Apple Business Manager ou Apple School Manager identificam a organização nessa tela, e essa única linha explica mais sobre as opções de VPN do que a maioria dos guias de configuração. A supervisão é um estado de gerenciamento, não um recurso de VPN, e altera quais interruptores existem em vez de qual servidor é acessível. Ler o estado primeiro evita percorrer três submenus à procura de um botão que nunca apareceria.
Comece onde o telefone informa seu estado de gerenciamento
Essa tela lista todos os perfis de configuração instalados no dispositivo, agrupados pela organização que os forneceu. Um perfil com carga útil de VPN é o objeto que possui a definição do túnel: o endereço do servidor, o método de autenticação, as regras de ativação sob demanda e se o usuário pode editá-lo ou removê-lo.
Se a lista estiver vazia, exceto por um app que você mesmo instalou, o telefone não é gerenciado no sentido que este artigo quer dizer. Um cliente de VPN da App Store cria seus próprios ajustes por meio de uma extensão de sistema, e não adianta procurar na lista de perfis uma política organizacional, porque ela não existe nesse dispositivo.
Leia o perfil antes de mudar qualquer interruptor
Toque no nome do perfil e leia o resumo da carga útil antes de tocar em qualquer coisa. Ele informa o tipo de conexão, o servidor e, muitas vezes, se o perfil pode ser removido. Esses três fatos dizem quem pode mudar o comportamento e onde fica a correção. Mudar o interruptor liga/desliga sob a linha de VPN não modifica o perfil, e a próxima verificação de gerenciamento pode devolver o estado exatamente onde a organização quer.
Um perfil marcado como não removível é uma decisão administrativa expressa como restrição do dispositivo, não um bug a ser contornado.
Por que alguns interruptores de VPN faltam
A ativação sob demanda, o túnel por app e o comportamento somente com IKEv2 ficam atrás de APIs de gerenciamento, e várias delas exigem supervisão além do gerenciamento. Um telefone pessoal com um cliente instalado manualmente simplesmente não apresenta esses controles, e a ausência deles não é prova de um app com defeito nem de uma versão antiga do iOS. A mesma versão do iOS mostra opções diferentes em dois dispositivos porque os dispositivos estão em estados diferentes.
O método de inscrição decide esse estado. A inscrição automática de dispositivos pelo Apple Business Manager ou Apple School Manager produz um dispositivo supervisionado; um perfil instalado manualmente não, mesmo quando o mesmo servidor MDM o forneceu.
O que a supervisão acrescenta e o que ela continua incapaz de fazer
A supervisão eleva o teto do que uma organização pode impor em vez de mudar o próprio túnel. Ela permite perfis não removíveis, restrições adicionais e túnel gerenciado no nível do app, e é por isso que um dispositivo pode ser obrigado a manter uma VPN ativa em vez de oferecer a opção. O guia de implantação da Apple descreve a inscrição e o gerenciamento como o caminho para esses recursos.
Ela não torna confiável um operador de VPN específico e não transforma um certificado mal emitido em conexão funcional. A supervisão é uma declaração sobre quem pode configurar o dispositivo, não um selo de qualidade do serviço ao qual se conecta.
| What the phone shows | What it means for the tunnel |
|---|---|
| Profile from an organization with a VPN payload | The organization defines the connection and may reapply it |
| No organization profile, client installed from the App Store | Personal configuration, no supervision involved |
| Organization named on the management screen with enforced settings | Supervised enrolment; removal and editing are restricted |
As diferenças de versão também importam aqui: um controle que aparece na versão mais recente pode estar documentado apenas para dispositivos supervisionados, e um dispositivo duas versões principais atrás não é a referência de como o ajuste deve parecer.
Saia pela rota suportada
Quando o dispositivo deve deixar de ser gerenciado, ou quando um perfil contém um erro, a correção pertence ao processo de aposentadoria ou reemissão do administrador. Apagar o telefone não necessariamente o libera de uma atribuição de inscrição automática, então o dispositivo pode voltar configurado e supervisionado após uma restauração.
Registre as informações de recuperação antes de qualquer restauração autorizada, e espere que a remoção de um perfil leve mais do que a VPN: certificados, credenciais de Wi-Fi e restrições costumam viajar juntos. Decidir manter um túnel funcional é mais fácil do que reconstruí-lo depois.