iPhone просить дозволити конфігурацію VPN: перевірте перед натисканням

Ви натиснули щось у застосунку VPN, і iOS відповів діалогом, якого ви не очікували: застосунок хоче додати конфігурації VPN, а під ним «Не дозволяти» та «Дозволити». Цей діалог — це дозвіл системи на маршрутизацію, і він з’являється один раз для кожної конфігурації, яку застосунок намагається встановити. Дозвольте його, коли ви відкрили застосунок і мали намір підключитися; натисніть «Не дозволяти», якщо запит надійшов, поки ви робили щось інше, а потім з’ясуйте, що вивело його на екран. Ніщо у формулюванні не каже вам, чи постачальник заслуговує на довіру — він лише фіксує, що iOS збирається передати частину мережевого стеку цьому застосунку.

Що iOS просить вас схвалити

Звичайний застосунок не може торкнутися шляху пакетів. Клієнт VPN має бути побудований на фреймворку NetworkExtension від Apple і підписаний правом Personal VPN; коли йому потрібен тунель, він створює об’єкт конфігурації та просить систему зберегти його, і саме цей виклик збереження піднімає діалог. Формулювання змінюється між версіями — новіші кажуть додати конфігурації VPN, старіші — додати конфігурацію VPN — але значення незмінне: встановлений вами застосунок хоче постійний запис у розділі Налаштування > Загальні > VPN і керування пристроєм.

Запис є постійним за задумом. Він переживає збої та перезапуски застосунку, може знову підключатися, коли застосунок закритий, і може нести правила підключення на вимогу, які піднімають тунель, коли ви приєднуєтеся до мережі. Саме тому iOS запитує, а не просто робить це, і тому відповідь зберігається, а не запитується знову при кожному підключенні.

Прочитайте діалог, перш ніж натиснути «Дозволити»

Ставтеся до діалогу як до твердження, яке можна перевірити за кілька секунд. Зупиніться на першому пункті, який не виконується.

• Ім’я в діалозі збігається із застосунком, який ви встановили. Діалог, приписаний чомусь незнайомому, — це привід натиснути «Не дозволяти» й продовжити пошук, а не те, що варто перевіряти на практиці.
• Ви були всередині цього застосунку, коли він з’явився. Перше налаштування та кнопки підключення — звичайні причини.
• Застосунок не було щойно оновлено чи перевстановлено без вашого відома. Нова версія може додати конфігурацію та запитати знову.
• Ніхто не просить ваш Apple ID, номер картки чи код із повідомлення. Діалог VPN ніколи цього не вимагає, тож діалог, який вимагає, — інший діалог.

Коли виконуються всі чотири умови, «Дозволити» — розумна відповідь для постачальника, якого ви обрали свідомо. Якщо ви не впевнені, натисніть «Не дозволяти»; застосунок запитає знову під час наступного збереження, і, зачекавши годину, ви нічого не втратите.

Перевірте конфігурацію після дозволу

Схвалення починає перевірку, але не завершує її. Відкрийте Налаштування > Загальні > VPN і керування пристроєм і подивіться на блок VPN. Ви маєте побачити один рядок, названий за застосунком або профілем, який він встановив, із рядком стану та кнопкою інформації. Натисніть цю кнопку, щоб прочитати адресу сервера, ім’я облікового запису, якщо воно є, і чи ввімкнено «Підключатися на вимогу».

Потім вирішіть, чий це рядок. Особистий VPN, створений вами із застосунку, належить вам — його можна редагувати й видаляти; рядок, де сказано, що ним керує організація, таким не є, і його вилучення проходить через того, хто зареєстрував пристрій. Бачити обидва означає, що дві різні інстанції ділять пристрій, і вам варто знати, яка з них несе ваш трафік просто зараз.

Останній крок: підключіться один раз і підтвердьте, що трафік справді йде через тунель. Завантажте сторінку, яка показує вашу публічну адресу, і перевірте, що адреса належить постачальнику, а не вашій домашній мережі. Якщо рядок каже «Підключено», а адреса не змінилася, конфігурація встановлена, але не маршрутизує, і виправлення в налаштуваннях на тому інформаційному екрані, а не в застосунку.

Що схвалення покриває, а що ні

Дозвіл дає застосунку можливість маршрутизувати трафік у межах своєї конфігурації. Це великий дозвіл в один бік і вузький в інший. Застосунок може надсилати ваші пакети через свої сервери й бачити прикріплені до них метадані: до яких адрес ви зверталися, коли і скільки пройшло. Він не може читати внутрішній вміст сеансу HTTPS і не отримує ваші фотографії, повідомлення, мікрофон чи Apple ID.

Охоплення теж вужче, ніж «усе». Конфігурація може маршрутизувати весь трафік або лише деякі призначення, а тунелювання за застосунками — коли тунель використовують лише названі застосунки — влаштовує менеджер пристрою, а не натискання «Дозволити». iOS тримає активним лише одне особисте підключення VPN одночасно, навіть якщо перелічено кілька конфігурацій, тому другий застосунок не може тихо перехопити в першого, поки той підключений.

Відкличте дозвіл належним чином, коли припините користуватися сервісом

Видалення застосунку не є надійним способом прибрати конфігурацію. Перевірте список VPN самостійно й видаліть рядок з його інформаційного екрана, якщо він там ще є. На пристрої, який ви виводите з експлуатації, зробіть і бік облікового запису: вийдіть у панелі постачальника або відкличте пристрій там, бо видалений локальний рядок нічого не робить із сеансом, який сервер досі вважає чинним.

Керовані пристрої — виняток. Коли рядок каже, що його встановила організація, локальне видалення або не вдається, або скасовується під час наступної перевірки, і залишається лише власний процес вилучення організації.

Коли діалог продовжує повертатися

Повторюваний діалог зазвичай означає, що конфігурація створюється заново, а не що перше схвалення не вдалося. Часті причини: застосунок пише нову конфігурацію під час кожного запуску, і iOS вважає її новою, правило підключення на вимогу відкинуло старий запис, профіль було перевстановлено менеджером пристрою, або існує кілька конфігурацій і застосунок питає про ту, яку ви ніколи не помічали.

Спершу порахуйте рядки. Якщо список зростає щоразу, коли ви відкриваєте застосунок, застосунок не використовує свою конфігурацію повторно, і виправлення належить розробнику або чистій переустановці. Якщо список залишається на одному, а діалог усе одно повертається, пошукайте профіль керування, який перевстановлює його, — це питання політики, а не помилка, яку можна прибрати натисканням.

Перш ніж рухатися далі, підтвердьте три речі: рядок у Налаштуваннях — той, який ви схвалили, адреса, яку ви бачите підключеними, належить постачальнику, і бік облікового запису відкликано, якщо ви завершили із сервісом. Ці три охоплюють те, що дав діалог, що він робить зараз і що продовжить робити після того, як пристрій вийде з ваших рук.