iPhone ber om att tillåta VPN-konfiguration: kontrollera innan du trycker

Du tryckte på något i en VPN-app, och iOS svarade med en dialog du inte väntade dig: appen vill lägga till VPN-konfigurationer, med ”Tillåt inte” och ”Tillåt” under. Den dialogen är systemets routingbehörighet, och den visas en gång för varje konfiguration som appen försöker installera. Tillåt den när du öppnade appen och tänkte ansluta; tryck ”Tillåt inte” när begäran kom medan du gjorde något annat, och ta sedan reda på vad som fick upp den på skärmen. Ingenting i formuleringen säger att leverantören förtjänar förtroende — den registrerar bara att iOS är på väg att lämna en del av nätverksstacken till den här appen.

Vad iOS ber dig godkänna

En vanlig app kan inte röra paketvägen. En VPN-klient måste byggas på Apples NetworkExtension-ramverk och signeras med Personal VPN-rättigheten; när den vill ha en tunnel skapar den ett konfigurationsobjekt och ber systemet spara det, och det är just det anropet som visar dialogen. Formuleringen skiftar mellan versioner — nyare säger lägg till VPN-konfigurationer, äldre säger lägg till en VPN-konfiguration — men betydelsen är fast: en app du har installerat vill ha en beständig post i Inställningar > Allmänt > VPN och enhetshantering.

Posten är beständig enligt design. Den överlever krascher och omstarter, kan återansluta medan appen är stängd och kan bära regler för anslutning vid behov som reser tunneln när du ansluter till ett nätverk. Det är precis därför iOS frågar i stället för att bara göra det, och därför sparas svaret i stället för att frågas igen vid varje anslutning.

Läs dialogen innan du trycker ”Tillåt”

Behandla dialogen som ett påstående du kan kontrollera på några sekunder. Stanna vid den första punkten som inte stämmer.

• Namnet i dialogen matchar en app du har installerat. En dialog som tillskrivs något du inte känner igen är en anledning att trycka ”Tillåt inte” och leta vidare, inte något att testa.
• Du var inne i den appen när den dök upp. Första installationen och anslutningsknapparna är de vanliga utlösarna.
• Appen har inte precis uppdaterats eller installerats om utan dig. En ny version kan lägga till en konfiguration och fråga igen.
• Ingen ber om ditt Apple ID, ett kortnummer eller en kod från ett meddelande. VPN-dialogen vill aldrig ha dem, så en dialog som ber om dem är en annan dialog.

När alla fyra villkoren gäller är ”Tillåt” ett rimligt svar för en leverantör du medvetet valt. Om du är osäker, tryck ”Tillåt inte”; appen frågar igen nästa gång den sparar, och du förlorar inget på att vänta en timme.

Verifiera konfigurationen efter att du har tillåtit

Godkännandet startar kontrollen, det avslutar den inte. Öppna Inställningar > Allmänt > VPN och enhetshantering och titta på VPN-blocket. Du bör se en rad uppkallad efter appen eller profilen den installerade, med en statusrad och en informationsknapp. Tryck på den knappen för att läsa serveradressen, kontonamnet om det finns och om ”Anslut vid behov” är påslaget.

Avgör sedan vems raden är. En personlig VPN du skapade från en app är din att redigera och radera; en rad som säger att en organisation hanterar den är det inte, och dess borttagning går genom den som registrerade enheten. Att se båda betyder att två olika myndigheter delar enheten, och du bör veta vilken som bär din trafik just nu.

Sista steget: anslut en gång och bekräfta att trafiken verkligen följer tunneln. Ladda en sida som visar din offentliga adress och kontrollera att adressen tillhör leverantören, inte din hemanslutning. Om raden säger ”Ansluten” och adressen inte har ändrats är konfigurationen installerad men routar inte, och rättelsen finns i inställningarna på den informationsskärmen, inte i appen.

Vad godkännandet täcker och vad det inte gör

Att tillåta ger appen förmågan att routa trafik under sin konfiguration. Det är en stor behörighet i en riktning och en snäv i den andra. Appen kan skicka dina paket via sina servrar och kan se metadata som hänger med dem: vilka adresser du kontaktade, när och hur mycket som flyttades. Den kan inte läsa insidan av en HTTPS-session, och den får inte dina bilder, meddelanden, mikrofon eller ditt Apple ID.

Täckningen är också snävare än ”allt”. En konfiguration kan routa all trafik eller bara vissa destinationer, och tunnling per app — där bara namngivna appar använder tunneln — ordnas av en enhetsadministratör, inte genom att trycka ”Tillåt”. iOS håller bara en personlig VPN-anslutning aktiv i taget även när flera konfigurationer är listade, så en andra app kan inte tyst ta över från den första medan den är ansluten.

Återkalla den ordentligt när du slutar använda tjänsten

Att radera appen är inte ett pålitligt sätt att ta bort konfigurationen. Kontrollera VPN-listan själv och radera raden från dess informationsskärm om den fortfarande finns där. På en enhet du avvecklar, gör också kontosidan: logga ut i leverantörens instrumentpanel eller återkalla enheten där, för en raderad lokal rad gör ingenting mot en session som servern fortfarande anser giltig.

Hanterade enheter är undantaget. När raden säger att en organisation installerade den misslyckas en lokal radering eller rullas tillbaka vid nästa incheckning, och bara organisationens egen borttagningsprocess håller.

När dialogen fortsätter att komma tillbaka

En upprepad dialog betyder oftast att konfigurationen skapas på nytt, inte att det första godkännandet misslyckades. De vanliga orsakerna: appen skriver en ny konfiguration vid varje start och iOS behandlar den som ny, en regel för anslutning vid behov släppte den gamla posten, en profil installerades om av en enhetsadministratör, eller det finns flera konfigurationer och appen frågar om en du aldrig lade märke till.

Räkna raderna först. Om listan växer varje gång du öppnar appen använder appen inte sin konfiguration igen, och rättelsen hör till utvecklaren eller en ren ominstallation. Om listan stannar på en och dialogen ändå kommer tillbaka, leta efter en hanteringsprofil som installerar om den — det är en policyfråga, inte en bugg du kan trycka bort.

Innan du går vidare, bekräfta tre saker: raden i Inställningar är den du godkände, adressen du ser medan du är ansluten tillhör leverantören, och kontosidan är återkallad om du är klar med tjänsten. De tre täcker vad dialogen gav, vad den gör nu och vad den fortsätter att göra efter att enheten lämnar dina händer.