VPN для застосунків в iOS: зіставте VPNUUID застосунку, а не PayloadUUID

Два значення UUID вирішують, чи проходить один керований застосунок iPhone через тунель для застосунку, і жодне з них не є ідентифікатором профілю, який їх несе. Атрибут VPNUUID застосунку має дорівнювати VPNUUID усередині корисного навантаження VPN для застосунку. Розгорнутий застосунок також має керуватися тією самою службою керування пристроями, а команда, яку ви надсилаєте, має справді нести цей атрибут. Пройдіть чотири етапи нижче по порядку, бо кожен створює значення, потрібне наступному.

Зберіть чотири ідентифікатори, перш ніж торкатися пристрою

Запишіть чотири значення: ідентифікатор пакета з вашої інвентаризації керування, ідентифікатор корисного навантаження VPN для застосунку, VPNUUID усередині цього навантаження та ідентифікатор команди, яку ви от-от надішлете. Ідентифікатор пакета називає застосунок, який отримує налаштування, а підпис на головному екрані його не замінює. Тримайте PayloadUUID повністю поза цим списком, бо він позначає навантаження всередині профілю і відповідає на інше питання. Підставляти його замість іншого лише тому, що обидва поля виглядають як UUID, — найпоширеніший спосіб побудувати зв'язок, який ніколи не зможе збігтися.

Якщо адміністратор VPN не передав вам навантаження для застосунку та його ідентифікатор, попросіть їх, замість того щоб виколупувати UUID з будь-якого найближчого файлу конфігурації.

Застосуйте атрибут через канал керування

Підтвердьте, що цільовий застосунок керований на цьому пристрої, бо відомий ідентифікатор пакета не робить некероване встановлення придатним для зв'язку. Потім надішліть елемент налаштувань типу ApplicationAttributes через призначення VPN для застосунку вашого продукту або його підтримувану реалізацію команди Settings. Елемент визначає застосунок за ідентифікатором пакета і несе словник Attributes, чий VPNUUID відповідає навантаженню. Ніщо в цьому елементі не є повним конвертом команди, і ніщо в ньому не можна встановити вручну як профіль.

До видалення ставтеся так само усвідомлено, як до встановлення. Схема каже, що пропуск словника Attributes видаляє наявні атрибути застосунку, тож наполовину зібране оновлення тихо стає скиданням. Команда зі схожою назвою Managed Application Attributes читає атрибути назад для перевірки; вона їх не задає, і використовувати її як задавач — це змарноване вікно розгортання.

Читайте результат команди, а не піктограму застосунку

Перевірте підтвердження надісланої команди і переконайтеся, що керований застосунок тепер повідомляє про атрибут. Значок VPN у рядку стану лише каже, що десь у телефоні є тунель. Він не може сказати, що саме цей застосунок призначено конфігурації для застосунку, а на пристрої, де тунель відкривається на запит, значок може взагалі не з'явитися. Порівнюйте ідентифікатори в призначенні, а не шукайте візуальну ознаку.

Якщо в одному парку є дві конфігурації для застосунку, порівняйте їхні ідентифікатори, перш ніж вважати, що ваше призначення потрапило в потрібну.

Перевірте з ресурсом, а потім зафіксуйте пару

Дозвольте уповноваженому користувачеві відкрити приватний ресурс із призначеного застосунку і подивіться, чи піднімається для нього тунель для застосунку. Потім повторіть із некерованого застосунку на тому самому телефоні і підтвердьте, що поводження відрізняється. Саме цей контраст і є справжньою перевіркою, бо робочий приватний ресурс міг бути досягнутий і через тунель для всього пристрою, про який ніхто не згадав у журналі змін. Запишіть результат, поки пристрій перед вами.

Зберігайте разом ідентифікатор пакета, ідентифікатор навантаження, спільний VPNUUID і результат команди, щоб наступне розслідування починалося з тих самих чотирьох значень, а не з пам'яті.

Відкотіть без побічної шкоди

Щоб зняти призначення, надішліть атрибут застосунку знову з порожнім словником Attributes у формі, задокументованій вашим продуктом, замість того щоб прибирати застосунок із команди. Після цього перевірте, що застосунок більше не відкриває тунель для застосунку, а інші керовані застосунки зберегли свій. Якщо на тому самому телефоні є й профіль VPN для всього пристрою, підтвердьте, що він поводиться як до відкату, бо дві конфігурації VPN на одному пристрої — це місце, де цей крок зазвичай іде не так. Потім оновіть запис, який ви вели.

Аудит, який питає, чому конкретний застосунок колись ішов через тунель, захоче пару UUID і дату, а не опис розгортання.