走完承载 iPhone VPN 配置的四个界面

一份 iPhone VPN 设置散落在四处，没有一处握着全部。应用知道自己卖的是什么服务，系统知道用户授权了哪份配置，管理描述文件知道推送了什么，受支持的导出知道厂商愿意展示到什么程度。按这个顺序读下来，能得到一份可以交给同事的记录；只读一处、其余靠猜，得到的是会被重新打开的工单。顺序之所以重要，是因为每个界面只能回答这个问题的一部分。

第一个界面：拥有服务的应用

打开应用，记下它怎么称呼这条连接、属于哪个账号或订阅，以及它显示的端点、区域或协议。把区域和主机名分开记，因为选中的位置并不是手机实际拨号的地址。记下界面显示的内容，而不是营销页面的说法。

如果应用完全不显示端点，这种缺失本身就是一条发现。服务方可以把网关藏在自家 API 后面，始终不向用户暴露主机名。

第二个界面：系统条目

设置、通用、VPN 与设备管理列出了系统知道的每一份配置。VPN 一行写着当前生效的配置，以及 系统所赋予的类型标签，这个标签往往比真正干活的协议更含糊。再往下，描述文件一栏列出所有通过文件或管理方式安装的内容。请逐个打开条目，而不要相信行标签，因为服务器和身份住在详情界面里。

文件应用里下载的文件和已安装的描述文件是两个不同的对象，真正起作用的只有已安装的那个。

第三个界面：管理负载

当设置由单位或学校提供时，负载才是权威，手机只是它的一份副本。读描述文件，看身份、服务器、任何代理或 DNS 负载，以及随它一起分发的证书或信任材料。信任负载和私钥是两个独立的对象，两者都不会告诉你当前会话用了哪份凭据。这份对应关系要去问描述文件的持有者，而不是从已安装的内容里推断。

不要为了看某个字段是否可编辑就删掉描述文件。删除会把设置以及随它而来的一切一并带走。

第四个界面：受支持的导出

截图能回答大多数问题，却在真正要紧的问题上失灵。确实需要细节时，去问服务商：哪份诊断导出覆盖这个问题，文件里是否带有账号标识、令牌或内部名称。

在文件离开手机之前先读一遍。泄露令牌的配置记录，比没有记录更糟。

最后留在手里的记录

一份可用的记录会写明所属应用、已安装的描述文件、管理方、有文档时的实现类型、流量范围，以及凭据的来源。只有在有人按受支持流程实际观察到时，才写入连接结果。凡是无法指到某个界面上的内容，一律不写。

把记录放在资产清单里、设备旁边。换机时，它说的是哪些东西需要重新签发，而不是从备份里恢复什么。