Övervakad iPhone och VPN-inställningar: vad som faktiskt ändras
Gå igenom skärmen Enhetshantering, läs profilen som äger tunneln och lär dig vilka iOS VPN-alternativ som bara visas på en övervakad enhet.
Öppna Inställningar, sedan Allmänt, sedan VPN och enhetshantering, och läs vad telefonen säger om sig själv. Enheter som registrerats via Apple Business Manager eller Apple School Manager anger sin organisation på den skärmen, och den enda raden förklarar mer om VPN-alternativen än de flesta konfigurationsguider gör. Övervakning är ett hanteringsläge, inte en VPN-funktion, och det ändrar vilka reglage som finns, inte vilken server som nås. Att läsa statusen först sparar en runda genom tre undermenyer i jakt på en växel som aldrig skulle dyka upp.
Börja där telefonen rapporterar sitt hanteringsläge
Den skärmen listar varje konfigurationsprofil som är installerad på enheten, grupperad efter organisationen som levererade den. En profil med en VPN-nyttolast är objektet som äger tunneldefinitionen: serveradressen, autentiseringsmetoden, reglerna för aktivering på begäran och huruvida användaren får redigera eller ta bort den.
Om listan är tom förutom en app du själv installerat, hanteras inte telefonen i den mening den här artikeln avser. En VPN-klient från App Store skapar sina egna inställningar via ett systemtillägg, och hur mycket du än söker i profillistan dyker ingen organisationspolicy upp, eftersom det inte finns någon på den enheten.
Läs profilen innan du ändrar någon växel
Tryck på profilnamnet och läs sammanfattningen av nyttolasten innan du rör något. Där anges anslutningstypen, servern och ofta om profilen kan tas bort. Dessa tre fakta berättar vem som kan ändra beteendet och var rättelsen hör hemma. Att ändra på/av-reglaget under VPN-raden ändrar inte profilen, och nästa hanteringskontroll kan sätta tillbaka statusen exakt där organisationen vill ha den.
En profil som markerats som icke borttagbar är ett administrativt beslut uttryckt som en enhetsbegränsning, inte en bugg att kringgå.
Varför vissa VPN-reglage saknas
Aktivering på begäran, tunnling per app och beteende enbart med IKEv2 ligger bakom hanterings-API:er, och flera av dem kräver övervakning utöver hantering. En personlig telefon med en manuellt installerad klient visar helt enkelt inte dessa kontroller, och att de saknas är inte bevis på en trasig app eller en föråldrad iOS-version. Samma iOS-version visar olika alternativ på två enheter eftersom enheterna befinner sig i olika lägen.
Registreringsmetoden avgör det läget. Automatisk enhetsregistrering via Apple Business Manager eller Apple School Manager ger en övervakad enhet; en manuellt installerad profil gör det inte, även när samma MDM-server levererade den.
Vad övervakning tillför och vad den fortfarande inte kan
Övervakning höjer taket för vad en organisation får genomdriva i stället för att ändra själva tunneln. Den möjliggör icke borttagbara profiler, ytterligare begränsningar och hanterad tunnling på appnivå, och den är anledningen till att en enhet kan åläggas att hålla en VPN aktiv i stället för att erbjuda alternativet. Apples distriktsguide beskriver registrering och hantering som vägen till dessa funktioner.
Den gör inte en specifik VPN-operatör pålitlig, och den förvandlar inte ett dåligt utfärdat certifikat till en fungerande anslutning. Övervakning är ett uttalande om vem som får konfigurera enheten, inte ett kvalitetsmärke på tjänsten som ansluts till.
| What the phone shows | What it means for the tunnel |
|---|---|
| Profile from an organization with a VPN payload | The organization defines the connection and may reapply it |
| No organization profile, client installed from the App Store | Personal configuration, no supervision involved |
| Organization named on the management screen with enforced settings | Supervised enrolment; removal and editing are restricted |
Versionsskillnader spelar roll här också: en kontroll som dyker upp i den senaste versionen kan vara dokumenterad endast för övervakade enheter, och en enhet två huvudversioner efter är inte referensen för hur inställningen ska se ut.
Lämna via den stödda vägen
När enheten ska sluta hanteras, eller när en profil innehåller ett fel, hör rättelsen till administratörens avvecklings- eller återutgivningsprocess. Att radera telefonen frigör den inte nödvändigtvis från en automatisk registreringstilldelning, så enheten kan komma tillbaka konfigurerad och övervakad efter en återställning.
Registrera återställningsinformationen före varje auktoriserad återställning, och räkna med att borttagning av en profil tar med sig mer än VPN: certifikat, Wi-Fi-uppgifter och begränsningar reser vanligtvis tillsammans. Att bestämma sig för att behålla en fungerande tunnel är enklare än att bygga upp den igen efteråt.