iPhone під наглядом і налаштування VPN: що насправді змінюється
Пройдіть екраном «Керування пристроєм», прочитайте профіль, якому належить тунель, і дізнайтеся, які параметри VPN в iOS з'являються лише на пристрої під наглядом.
Відкрийте «Налаштування», потім «Загальні», потім «VPN і керування пристроєм» і прочитайте, що телефон говорить про себе. Пристрої, зареєстровані через Apple Business Manager або Apple School Manager, указують на цьому екрані свою організацію, і цей один рядок пояснює про параметри VPN більше, ніж більшість посібників із налаштування. Нагляд — це стан керування, а не функція VPN, і він змінює те, які перемикачі існують, а не те, який сервер доступний. Читання стану спершу позбавляє від обходу трьох підменю в пошуках перемикача, який ніколи не мав з'явитися.
Почніть там, де телефон повідомляє стан керування
Цей екран перелічує кожен профіль конфігурації, встановлений на пристрої, згрупований за організацією, яка його надала. Профіль із корисним навантаженням VPN — це об'єкт, якому належить визначення тунелю: адреса його сервера, метод автентифікації, правила активації на запит і те, чи може користувач редагувати або видаляти його.
Якщо список порожній, крім застосунку, який ви встановили самі, пристрій не керується в тому сенсі, який має на увазі ця стаття. Клієнт VPN з App Store створює власні налаштування через системне розширення, і скільки не шукайте в списку профілів, організаційна політика не з'явиться, бо на цьому пристрої її немає.
Прочитайте профіль, перш ніж змінювати будь-який перемикач
Торкніться назви профілю і прочитайте зведення корисного навантаження, перш ніж щось чіпати. Там зазначено тип з'єднання, сервер і часто те, чи можна видалити профіль. Ці три факти кажуть, хто може змінити поведінку і куди належить виправлення. Перемикач увімкнення/вимкнення під рядком VPN не змінює профіль, і наступна перевірка керування може повернути стан точно туди, де його хоче бачити організація.
Профіль, позначений як невидалюваний, — це адміністративне рішення, виражене як обмеження пристрою, а не помилка, яку треба обходити.
Чому деяких перемикачів VPN немає
Активація на запит, тунелювання для кожного застосунку і поведінка лише через IKEv2 перебувають за API керування, і деякі з них потребують нагляду на додачу до керування. Особистий телефон із вручну встановленим клієнтом просто не показує ці елементи керування, і їхня відсутність не є доказом зламаного застосунку чи застарілої версії iOS. Той самий випуск iOS показує різні параметри на двох пристроях, бо пристрої перебувають у різних станах.
Спосіб реєстрації визначає цей стан. Автоматична реєстрація пристроїв через Apple Business Manager або Apple School Manager створює пристрій під наглядом; профіль, встановлений вручну, — ні, навіть якщо його надав той самий сервер MDM.
Що додає нагляд і що він досі не може
Нагляд піднімає стелю того, що організація може вимагати, а не змінює сам тунель. Він уможливлює невидалювані профілі, додаткові обмеження та кероване тунелювання на рівні застосунків, і саме тому пристрою можна приписати тримати VPN активним замість того, щоб пропонувати цю можливість. Посібник Apple з розгортання описує реєстрацію та керування як шлях до цих можливостей.
Він не робить конкретного оператора VPN надійним і не перетворює погано виданий сертифікат на робоче з'єднання. Нагляд — це твердження про те, хто може налаштовувати пристрій, а не знак якості послуги, до якої ви підключаєтеся.
| What the phone shows | What it means for the tunnel |
|---|---|
| Profile from an organization with a VPN payload | The organization defines the connection and may reapply it |
| No organization profile, client installed from the App Store | Personal configuration, no supervision involved |
| Organization named on the management screen with enforced settings | Supervised enrolment; removal and editing are restricted |
Відмінності версій тут теж важливі: елемент керування, що з'явився в найновішому випуску, може бути задокументований лише для пристроїв під наглядом, а пристрій, що відстає на дві основні версії, не є еталоном того, як має виглядати налаштування.
Вийдіть підтримуваним шляхом
Коли пристрій має перестати керуватися або коли профіль містить помилку, виправлення належить до процесу виведення з експлуатації чи перевипуску в адміністратора. Стирання телефона не обов'язково звільняє його від автоматичного призначення реєстрації, тому після скидання пристрій може повернутися налаштованим і під наглядом.
Запишіть інформацію для відновлення перед будь-яким дозволеним скиданням і очікуйте, що видалення профілю забере з собою більше, ніж VPN: сертифікати, облікові дані Wi-Fi та обмеження зазвичай подорожують разом. Вирішити зберегти робочий тунель простіше, ніж потім відновлювати його.