iPhone запрашивает разрешение на конфигурацию VPN: проверьте перед нажатием

Вы нажали что-то в приложении VPN, и iOS ответил диалогом, которого вы не ожидали: приложение хочет добавить конфигурации VPN, а под ним «Не разрешать» и «Разрешить». Этот диалог — разрешение системы на маршрутизацию, и он появляется один раз для каждой конфигурации, которую приложение пытается установить. Разрешите его, когда вы открыли приложение и собирались подключиться; нажмите «Не разрешать», если запрос пришёл, пока вы занимались другим, а затем разберитесь, что вывело его на экран. Ничто в формулировке не говорит вам, заслуживает ли провайдер доверия — она лишь фиксирует, что iOS собирается передать часть сетевого стека этому приложению.

Что iOS просит вас одобрить

Обычное приложение не может коснуться пути пакетов. Клиент VPN должен быть построен на фреймворке NetworkExtension от Apple и подписан правом Personal VPN; когда ему нужен туннель, он создаёт объект конфигурации и просит систему сохранить его, и именно этот вызов сохранения поднимает диалог. Формулировка меняется между версиями — новые говорят добавить конфигурации VPN, старые — добавить конфигурацию VPN — но смысл неизменен: установленное вами приложение хочет постоянную запись в разделе Настройки > Основные > VPN и управление устройством.

Запись постоянна по замыслу. Она переживает сбои и перезапуски приложения, может переподключаться, пока приложение закрыто, и может нести правила подключения по запросу, которые поднимают туннель, когда вы присоединяетесь к сети. Именно поэтому iOS спрашивает, а не просто делает это, и поэтому ответ сохраняется, а не запрашивается заново при каждом подключении.

Прочитайте диалог, прежде чем нажать «Разрешить»

Относитесь к диалогу как к утверждению, которое можно проверить за несколько секунд. Остановитесь на первом пункте, который не выполняется.

• Имя в диалоге совпадает с приложением, которое вы установили. Диалог, приписанный чему-то незнакомому, — повод нажать «Не разрешать» и продолжить искать, а не то, что стоит проверять на практике.
• Вы были внутри этого приложения, когда он появился. Первичная настройка и кнопки подключения — обычные причины.
• Приложение не было только что обновлено или переустановлено без вашего ведома. Новая версия может добавить конфигурацию и спросить снова.
• Никто не просит ваш Apple ID, номер карты или код из сообщения. Диалог VPN никогда этого не требует, поэтому диалог, который требует, — другой диалог.

Когда выполняются все четыре условия, «Разрешить» — разумный ответ для провайдера, которого вы выбрали осознанно. Если вы не уверены, нажмите «Не разрешать»; приложение спросит снова при следующем сохранении, и, подождав час, вы ничего не потеряете.

Проверьте конфигурацию после разрешения

Одобрение начинает проверку, но не завершает её. Откройте Настройки > Основные > VPN и управление устройством и посмотрите на блок VPN. Вы должны увидеть одну строку, названную по приложению или профилю, который оно установило, со строкой состояния и кнопкой информации. Нажмите эту кнопку, чтобы прочитать адрес сервера, имя учётной записи, если оно есть, и включено ли «Подключаться по запросу».

Затем решите, чья это строка. Личный VPN, созданный вами из приложения, принадлежит вам — его можно редактировать и удалять; строка, где сказано, что ею управляет организация, таковой не является, и её удаление идёт через того, кто зарегистрировал устройство. Видеть обе означает, что две разные инстанции делят устройство, и вам стоит знать, какая из них несёт ваш трафик прямо сейчас.

Последний шаг: подключитесь один раз и подтвердите, что трафик действительно идёт через туннель. Загрузите страницу, показывающую ваш публичный адрес, и проверьте, что адрес принадлежит провайдеру, а не вашей домашней сети. Если строка говорит «Подключено», а адрес не изменился, конфигурация установлена, но не маршрутизирует, и исправление находится в настройках на том информационном экране, а не в приложении.

Что одобрение покрывает, а что нет

Разрешение даёт приложению возможность маршрутизировать трафик в рамках своей конфигурации. Это большое разрешение в одну сторону и узкое в другую. Приложение может отправлять ваши пакеты через свои серверы и видеть прикреплённые к ним метаданные: к каким адресам вы обращались, когда и сколько прошло. Оно не может читать внутренности сеанса HTTPS и не получает ваши фотографии, сообщения, микрофон или Apple ID.

Охват тоже уже, чем «всё». Конфигурация может маршрутизировать весь трафик или только некоторые назначения, а туннелирование по приложениям — когда туннель используют только названные приложения — устраивает менеджер устройства, а не нажатие «Разрешить». iOS держит активным только одно личное подключение VPN одновременно, даже если перечислено несколько конфигураций, поэтому второе приложение не может тихо перехватить у первого, пока то подключено.

Отзовите разрешение правильно, когда перестанете пользоваться сервисом

Удаление приложения не является надёжным способом убрать конфигурацию. Проверьте список VPN сами и удалите строку с её информационного экрана, если она всё ещё там. На устройстве, которое вы выводите из эксплуатации, сделайте и сторону аккаунта: выйдите в панели провайдера или отзовите устройство там, потому что удалённая локальная строка ничего не делает с сеансом, который сервер всё ещё считает действующим.

Управляемые устройства — исключение. Когда строка говорит, что её установила организация, локальное удаление либо не удаётся, либо отменяется при следующей проверке, и сохраняется только собственный процесс удаления организации.

Когда диалог продолжает возвращаться

Повторяющийся диалог обычно означает, что конфигурация создаётся заново, а не что первое одобрение не удалось. Частые причины: приложение пишет новую конфигурацию при каждом запуске, и iOS считает её новой, правило подключения по запросу отбросило старую запись, профиль был переустановлен менеджером устройства, или существует несколько конфигураций и приложение спрашивает о той, которую вы никогда не замечали.

Сначала посчитайте строки. Если список растёт каждый раз, когда вы открываете приложение, приложение не использует свою конфигурацию повторно, и исправление относится к разработчику или к чистой переустановке. Если список остаётся на одной, а диалог всё равно возвращается, поищите профиль управления, который переустанавливает её, — это вопрос политики, а не ошибка, которую можно убрать нажатием.

Прежде чем двигаться дальше, подтвердите три вещи: строка в Настройках — та, которую вы одобрили, адрес, который вы видите подключённым, принадлежит провайдеру, и сторона аккаунта отозвана, если вы закончили с сервисом. Эти три охватывают то, что дал диалог, что он делает сейчас и что будет делать дальше, после того как устройство уйдёт из ваших рук.