VPN на iPhone переподключается после выключения: кто его запускает?

Нажмите «отключить» в VPN на iPhone, откройте браузер — и туннель снова поднят ещё до загрузки страницы, из-за чего переключатель выглядит сломанным. Обычно это работает как задумано, просто не так, как хотел пользователь. Отключение завершает одну сессию; что-то другое по-прежнему имеет разрешение начать новую. На iOS это могут делать три разных владельца, и каждый оставляет свой след в том, когда происходит переподключение.

Отключение — не выключение

Ручное отключение говорит туннелю остановиться. Оно не обязательно говорит системе перестать его запрашивать. Правила подключения по требованию, собственная политика автоподключения приложения провайдера и управляемая конфигурация «всегда включено» переживают отключение, и каждое из них может снова запустить соединение без участия пользователя.

Разница важна, потому что решение находится у владельца. Переключать тумблер сильнее бесполезно, а удаление профиля — гораздо более крупное действие, чем требует проблема. Сначала найдите триггер, затем решите, ваше ли это дело — его менять. Такой порядок также уберегает от удаления рабочей конфигурации в погоне за правилом, которое живёт в другом месте.

Сравните трёх владельцев по их триггеру

Подключение по требованию реагирует на условия, которые оценивает операционная система: присоединение к сети или запрос, затрагивающий домен, которому соответствует правило. Приложение провайдера может поднять соединение при запуске или когда так решит его собственная фоновая политика. Управляемое развёртывание «всегда включено» — это требование уровня устройства, которое пользователь вообще не должен обходить.

Посмотрите, какое событие предшествует переподключению, и владелец становится довольно очевидным. Это разница между правилом, которое можно изменить, и политикой, о которой можно только спросить.

Что на самом деле делают правила по требованию

Поведение по требованию — это упорядоченный список. Каждая запись соответствует условию и даёт действие: подключить, отключить, оценить попытку соединения или игнорировать. Правило подключения, стоящее перед правилом отключения, побеждает, когда совпадают оба, и поэтому устройство может сразу переподключиться после ручного отключения.

Правила могут быть и доменными, сопоставляясь с именем хоста в запросе, а не с изменением интерфейса. Это схема, стоящая за «VPN возвращается, когда я открываю сайт интранета», и она указывает на провайдера или профиль, установивший правило, а не на сам iOS.

Управляемое «всегда включено» — не личная опция

На контролируемом, управляемом устройстве организация может требовать, чтобы VPN оставался включённым, и лишить пользователя возможности его выключить. Никакое переключение в настройках этого не изменит, и честный ответ таков: это поведение принадлежит политике администратора.

Спросите, какая политика действует и какой процесс исключения существует, если он есть. Удаление установленного профиля управления не является поддерживаемым решением; оно может убрать другую конфигурацию, от которой зависит устройство, и нарушить отчётность о соответствии.

Проверяйте, убирая триггер, а не профиль

Оставьте профиль установленным, отключитесь, затем повторите событие, которое раньше перезапускало туннель: подключитесь к той же сети Wi-Fi, откройте то же приложение, запросите то же внутреннее имя. Если туннель вернётся в этот момент, вы нашли триггер и можете искать настройку, которая им владеет.

Измените одну настройку у владельца, затем повторите тот же тест. Если переподключение прекратится, ответ у вас; если продолжится, триггер в другом месте, и профиль никогда не был проблемой. Загруженный файл настроек, который всё ещё лежит в приложении «Файлы», тоже не является установленной конфигурацией, поэтому удаление файла ничего не доказывает.

Полезный результат — это предложение, которое можно записать: это соединение запускается этим правилом или политикой и принадлежит этой стороне. Когда это правда, переключатель перестаёт казаться непредсказуемым, и следующий человек, сообщивший о проблеме, получает прямой ответ вместо ещё одной переустановки.