受监管的 iPhone 与 VPN 设置：真正改变的是什么
走一遍设备管理界面，读懂拥有隧道的配置描述文件，并了解哪些 iOS VPN 选项只会出现在受监管设备上。
打开“设置”，再依次进入“通用”“VPN 与设备管理”，读一读手机如何描述它自己。通过 Apple Business Manager 或 Apple School Manager 注册的设备会在该界面显示所属组织，而这一行对 VPN 选项的解释，比大多数配置指南都多。监管是一种管理状态，而不是 VPN 功能；它改变的是存在哪些开关，而不是能连上哪台服务器。先读状态，就不必在三个子菜单里翻找一个根本不会出现的开关。
从手机报告管理状态的地方开始
该界面会列出设备上安装的每一个配置描述文件，并按下发它的组织分组。带有 VPN 负载的描述文件，就是拥有隧道定义的对象：服务器地址、认证方式、按需启用规则，以及用户能否编辑或移除它。
如果列表里除你自己安装的 App 之外一片空白，那这部手机就不是本文所说的受管理状态。App Store 的 VPN 客户端通过系统扩展建立自己的设置，在描述文件列表里怎么翻都不会出现组织策略，因为该设备上根本不存在。
改动任何开关之前先读描述文件
点开描述文件名称，在动手之前先读负载摘要。它会写明连接类型、服务器，通常还会说明描述文件能否移除。这三点告诉你谁能改变行为，以及修改应该落在哪里。改动 VPN 那一行下面的开/关开关并不会修改描述文件，而下一次管理检查可能把状态原样恢复到组织想要的位置。
标记为不可移除的描述文件，是以设备限制形式表达的管理决定，不是需要绕开的程序错误。
为什么有些 VPN 开关不见了
按需激活、按 App 分流隧道以及仅使用 IKEv2 的行为都藏在管理 API 之后，其中好几项还需要在管理之外叠加监管。手动安装客户端的个人手机根本不会显示这些控件，它们缺席并不说明 App 坏了或 iOS 版本过旧。同一个 iOS 版本在两台设备上显示不同选项，是因为设备处在不同状态。
注册方式决定了这一状态。通过 Apple Business Manager 或 Apple School Manager 的自动设备注册会产出受监管设备；手动安装的描述文件则不会，即使由同一台 MDM 服务器下发也一样。
监管增加了什么，又仍然做不到什么
监管抬高的是组织可以强制执行的上限，而不是改变隧道本身。它让不可移除的描述文件、额外限制和受管理的 App 级隧道成为可能，也正是设备可以被要求保持 VPN 常开、而不是把选项交给用户的原因。Apple 部署指南把注册与管理描述为通往这些能力的路径。
它不会让某个具体的 VPN 运营商变得可信，也不会把签发不当的证书变成可用的连接。监管说明的是谁有权配置设备，而不是所连服务的质量认证。
| What the phone shows | What it means for the tunnel |
|---|---|
| Profile from an organization with a VPN payload | The organization defines the connection and may reapply it |
| No organization profile, client installed from the App Store | Personal configuration, no supervision involved |
| Organization named on the management screen with enforced settings | Supervised enrolment; removal and editing are restricted |
版本差异在这里同样重要：最新版本中出现的控件，可能只为受监管设备提供文档；落后两个大版本的设备，并不是设置应该长什么样的参照。
从受支持的路径退出
当设备应当不再受管理，或描述文件存在错误时，修正属于管理员的退役或重新签发流程。抹掉手机并不一定能让它脱离自动注册指派，因此重置后设备可能又回到已配置且受监管的状态。
在执行任何获准的重置之前，先记录恢复信息；也要预料到移除描述文件会带走的不只是 VPN：证书、Wi-Fi 凭据和限制通常一起迁移。决定保留一条可用的隧道，比事后重建要容易。