扫了 VPN 二维码却弹出 Safari？先读懂里面的内容

Safari 打开了，页面加载了，别的事什么也没发生。这让人意外，因为二维码是当作 VPN 配置交出去的，手机却把它当成了链接。两种表现出自同一个地方：二维码承载的是字节，手机上的某个东西必须把这些字节认成它认识的格式。当没有任何东西认得它们时，合理的兜底是显示文本，或者询问是否打开网址。

第一步：先解码内容，再谈责任

用普通扫描器读取二维码，看最前面的字符。开头是 http 或 https 说明是下载地址，是 XML 声明说明是配置文本，而以产品名开头的短块通常属于某个客户端私有的导入格式。这一眼就能告诉你下面哪几项检查适用。它也能结束一场关于手机的争论——那其实是在争论内容。把这个发现写进工单，因为下一位读者会问码里到底是什么。

给下载下来的文件改名，不改变它是什么。决定哪个应用能用它的，是字节。

第二步：让扫描器对上内容

相机没有 VPN 导入器，所以它只给出通用选项：打开链接、复制文本、把地址存进通讯录。自带扫描器的客户端可能认得相机永远认不出的格式。这两种结果都不能说明另一台手机上的另一个客户端怎样。同一个站点同时用两个客户端时，单是这种错配就足以解释一个对甲可用、对乙失效的码。

问运营方这个码是为哪个客户端生成的。这个问题解决的情形，比任何扫描器设置都多。

第三步：下载不等于安装

通过网址获取的 Apple 配置描述文件仍然需要安装。文件会落到「设置」的描述文件一栏，必须有人在那里审阅并确认安装。打开链接和安装描述文件是两件事，两件都不负责连接隧道。三个阶段要分开记录，否则最后一步会替前两步背锅。

受管理的设备可能直接拒绝安装，二维码没有任何权力推翻这个决定。

第四步：按它承载的数据给图片定级

如果内容里嵌了密钥或凭据，这张图就是那份秘密的副本。截图会经过聊天应用、附件和相册，而这些地方都不是为保存秘密设计的。按你对待密钥本身的规则，来决定二维码照片可以放在哪里。

如果内容指向一次下载，谁能取到材料由链接和服务器规则决定。印在海报上的码不是私密通道。

第五步：把隧道当成独立阶段来验证

导入成功后，把配置当成另一个题目来查：它被选中了吗，它连上了吗，内网资源有回应吗。这三件事各有各的修法和负责人。一个连上了、内网资源却没动静的配置，已经告诉你隧道是通的，而路由或解析器不是。

写下是哪一阶段失败的。四个阶段里有一个故障，那是张支持工单；四个阶段被揉成一句抱怨，对谁都是谜。然后把材料交出去时，把阶段写在旁边：码里有什么，哪个客户端在用，最后还能工作的是安装还是连接。