iPhone под надзором и настройки VPN: что на самом деле меняется
Пройдите по экрану «Управление устройством», прочитайте профиль, которому принадлежит туннель, и узнайте, какие параметры VPN в iOS появляются только на устройстве под надзором.
Откройте «Настройки», затем «Основные», затем «VPN и управление устройством» и прочитайте, что телефон говорит о себе. Устройства, зарегистрированные через Apple Business Manager или Apple School Manager, указывают на этом экране свою организацию, и эта одна строка объясняет о параметрах VPN больше, чем большинство руководств по настройке. Надзор — это состояние управления, а не функция VPN, и он меняет то, какие переключатели существуют, а не то, какой сервер доступен. Чтение состояния первым избавляет от обхода трёх подменю в поисках переключателя, который никогда не должен был появиться.
Начните там, где телефон сообщает состояние управления
Этот экран перечисляет каждый профиль конфигурации, установленный на устройстве, сгруппированный по организации, которая его предоставила. Профиль с полезной нагрузкой VPN — это объект, которому принадлежит определение туннеля: адрес его сервера, метод аутентификации, правила активации по запросу и то, может ли пользователь редактировать или удалять его.
Если список пуст, кроме приложения, установленного вами самостоятельно, устройство не управляется в том смысле, который имеет в виду эта статья. Клиент VPN из App Store создаёт собственные параметры через системное расширение, и сколько ни ищите в списке профилей, организационная политика не появится, потому что на этом устройстве её нет.
Прочитайте профиль, прежде чем менять любой переключатель
Коснитесь имени профиля и прочитайте сводку полезной нагрузки, прежде чем что-либо трогать. В ней указаны тип подключения, сервер и часто то, можно ли удалить профиль. Эти три факта говорят, кто может изменить поведение и куда относится исправление. Переключатель включения/выключения под строкой VPN не изменяет профиль, и следующая проверка управления может вернуть состояние точно туда, где его хочет видеть организация.
Профиль, помеченный как неудаляемый, — это административное решение, выраженное как ограничение устройства, а не ошибка, которую нужно обходить.
Почему некоторые переключатели VPN отсутствуют
Активация по запросу, туннелирование для каждого приложения и поведение только через IKEv2 находятся за API управления, и некоторые из них требуют надзора в дополнение к управлению. Личный телефон с вручную установленным клиентом просто не показывает эти элементы управления, и их отсутствие не является доказательством сломанного приложения или устаревшей версии iOS. Один и тот же выпуск iOS показывает разные параметры на двух устройствах, потому что устройства находятся в разных состояниях.
Способ регистрации определяет это состояние. Автоматическая регистрация устройств через Apple Business Manager или Apple School Manager создаёт устройство под надзором; профиль, установленный вручную, — нет, даже если его предоставил тот же сервер MDM.
Что добавляет надзор и что он по-прежнему не может
Надзор поднимает потолок того, что организация может требовать, а не меняет сам туннель. Он позволяет использовать неудаляемые профили, дополнительные ограничения и управляемое туннелирование на уровне приложений, и именно поэтому устройству можно предписать держать VPN активным вместо того, чтобы предлагать эту возможность. Руководство Apple по развёртыванию описывает регистрацию и управление как путь к этим возможностям.
Он не делает конкретного оператора VPN надёжным и не превращает плохо выданный сертификат в рабочее соединение. Надзор — это утверждение о том, кто может настраивать устройство, а не знак качества услуги, к которой выполняется подключение.
| What the phone shows | What it means for the tunnel |
|---|---|
| Profile from an organization with a VPN payload | The organization defines the connection and may reapply it |
| No organization profile, client installed from the App Store | Personal configuration, no supervision involved |
| Organization named on the management screen with enforced settings | Supervised enrolment; removal and editing are restricted |
Различия версий здесь тоже важны: элемент управления, появившийся в новейшем выпуске, может быть документирован только для устройств под надзором, а устройство, отстающее на две основные версии, не является эталоном того, как должна выглядеть настройка.
Выйдите поддерживаемым путём
Когда устройство должно перестать управляться или когда профиль содержит ошибку, исправление относится к процессу вывода из эксплуатации или переиздания у администратора. Стирание телефона не обязательно освобождает его от автоматического назначения регистрации, поэтому после сброса устройство может вернуться настроенным и под надзором.
Запишите информацию для восстановления перед любым разрешённым сбросом и ожидайте, что удаление профиля заберёт с собой больше, чем VPN: сертификаты, учётные данные Wi-Fi и ограничения обычно путешествуют вместе. Решить сохранить работающий туннель проще, чем потом восстанавливать его.