Как включить Always-on VPN на iPhone или iPad

TL;DR

Always-on VPN заставляет приложения работать только через VPN и блокирует доступ к интернету, если VPN недоступен. Для включения нужна поддержка IKEv2, устройство в режиме supervision и конфигурационный профиль, созданный через Apple Configurator или MDM. Подготовьте Mac, выполните полное стирание и настройку устройства в режиме supervision, затем примените профиль с параметром Always-on.

Быстрые ссылки

• Что потребуется
• Перевести iPhone или iPad в режим supervision и установить профиль
• Создать профиль Always-on VPN

VPN на iPhone и iPad по умолчанию не предлагает простой переключатель Always-on. С iOS 8 Apple добавила эту функцию, но она скрыта и доступна только через профиль конфигурации или сервер управления устройствами. После включения VPN будет всегда активен, и если соединение не восстановится, приложения не смогут выходить в интернет без VPN.

Что потребуется

Ссылка: Как подключиться к VPN с iPhone или iPad

Это не просто переключатель в настройках. Понадобятся определённый тип VPN, контролируемое устройство и профиль конфигурации или сервер MDM. Краткий список:

• An IKEv2 VPN: требуется использование IKEv2. Если вы настраиваете свой VPN-сервер, используйте ПО с поддержкой IKEv2, например StrongSwan на Linux и других ОС.
• Супервизированный iPhone или iPad: опция Always-on доступна только на устройствах в режиме supervision. Перевод в этот режим требует полного сброса устройства.
• Конфигурационный профиль или сервер MDM: после включения supervision опцию активируют через профиль, созданный в Apple Configurator, либо через сервер MDM.

Перевести iPhone или iPad в режим supervision и установить профиль

Считаем, что устройство ещё не в режиме supervision. Для подготовки потребуется Mac с Apple Configurator.

Выполните следующее:

1. Отключите функцию Найти iPhone или Найти iPad в настройках iCloud. Без этого supervision не включится и появится ошибка.

Ссылка: Что нужно знать о резервных копиях iPhone и iPad

2. Подключите устройство к Mac и откройте Apple Configurator.
3. Дайте устройству имя и включите переключатель Supervision.
4. Нажмите Организация, укажите имя организации, затем Prepare.

Важно: Процесс Prepare стирает все данные на устройстве. Создайте резервную копию в iTunes или iCloud до начала, если нужно сохранить данные.

Configurator загрузит копию iOS и выполнит чистую установку. По скорости интернета это может занять 15–20 минут.

После завершения настройте устройство как обычно. Можно восстановить из резервной копии или настроить как новое устройство.

Если открыть Настройки > Основные > Профиль, вы увидите, что устройство теперь считается супервизированным.

Создать профиль Always-on VPN

Теперь нужно применить настройку Always-on через профиль конфигурации. Метод тот же, что и для создания обычного VPN-профиля, но опция Always-on доступна только для супервизированных устройств.

1. Подключите iPhone или iPad к тому же Mac.
2. В Apple Configurator нажмите Supervise, выберите устройство, затем в списке Профили нажмите + и Создать новый профиль.

3. Выберите категорию VPN и нажмите Настроить.
4. В Тип соединения укажите IKEv2. Появится опция Always-on VPN (supervised only), её включите.
5. Укажите сервер и параметры подключения. Если сервер использует сертификаты, добавьте их в категорию Сертификаты.

Ссылка: Создание профиля конфигурации для упрощения настройки VPN на iPhone и iPad

6. Включите созданный профиль в списке и нажмите Apply. Профиль будет установлено на супервизированном устройстве.

После установки профиль будет управлять поведением VPN. В режиме Always-on система блокирует доступ приложений к сети, если VPN упал.

Когда это не сработает

• Устройство не супервизировано. Решение: перевод в режим supervision с полным сбросом.
• VPN не поддерживает IKEv2. Решение: использовать сервер с IKEv2 или MDM-политику, если это возможно.
• Профиль установлен неправильно или сертификаты отсутствуют. Решение: проверить профиль и добавить сертификаты.

Альтернативные подходы

• MDM-сервер. Если вы управляете устройствами через MDM, включите Always-on через MDM-политику удалённо.
• Per-app VPN. Если нужно защищать только корпоративные приложения, настройте per-app VPN вместо глобального Always-on.
• Постоянное соединение сторонних клиентов. Многие VPN-клиенты поддерживают удержание соединения в фоне, но они не обеспечат строгий блок сетевого трафика вне VPN, как supervised Always-on.

Пошаговый SOP для администратора

1. Подготовка
   • Подтвердите, что сервер VPN поддерживает IKEv2.
   • Подготовьте сертификаты и учетные данные.
   • Убедитесь, что у вас Mac с Apple Configurator и права администратора.
2. Резервное копирование
   • Сделайте резервную копию пользователя в iTunes или iCloud.
3. Перевод в supervision
   • Отключите Найти iPhone/iPad в iCloud.
   • Подключите устройство к Mac, выполните Prepare и включите Supervision.
4. Создание профиля
   • В Apple Configurator создайте профиль VPN (IKEv2), включите Always-on.
   • Добавьте сертификаты при необходимости.
5. Применение и проверка
   • Apply профиль и перезагрузите устройство.
   • Проверьте в Настройки > VPN, что профиль активен и соединение устанавливается.
6. Мониторинг
   • Наблюдайте логи VPN-сервера и MDM для ошибок подключений.

Критерии приёмки

• Устройство находится в режиме supervision.
• Профиль создан и применён через Apple Configurator или MDM.
• VPN соединение устанавливается автоматически и сохраняется при выключении экрана.
• При отключении VPN доступ приложений к интернету блокируется до восстановления соединения.

Устранение неполадок

• Проблема: профиль не применяется. Проверки: устройство действительно подключено к Mac, включён Supervision, профиль активен в списке.
• Проблема: VPN не подключается. Проверки: правильность параметров IKEv2, валидность сертификатов, доступность сервера из сети.
• Проблема: трафик уходит без VPN. Проверки: профиль применён именно к супервизированному устройству, нет конфликтующих MDM политик.

Рекомендации по логированию

• Включите логирование на VPN-сервере для диагностики IKEv2.
• Смотрите системные логи iOS через Apple Configurator или MDM для ошибок профиля.

Диаграмма принятия решения

graph TD
  A[Устройство под управлением организации?] --> B{Поддерживает IKEv2}
  B -- Да --> C{Можно ли стереть устройство для supervision}
  B -- Нет --> Z[Использовать другой сервер или per-app VPN]
  C -- Да --> D[Перевести в supervision и применять профиль]
  C -- Нет --> Y[Использовать MDM управление или per-app решения]
  D --> E[Создать профиль IKEv2 с Always-on и применить]
  E --> F[Проверить подключение и блокировку трафика]

Чек-листы по ролям

Администратор сети:

• Проверить поддержку IKEv2 на сервере.
• Подготовить сертификаты и учётные записи.
• Иметь доступ к Mac с Apple Configurator.
• Тестировать поведение при падении VPN.

Обычный пользователь:

• Создать резервную копию устройства.
• Отключить Найти iPhone / Найти iPad перед подготовкой.
• Следовать указаниям ИТ для восстановления данных.

Безопасность и конфиденциальность

Always-on защищает приложения от выхода трафика вне VPN. Это важно для корпоративных данных и соответствия политикам безопасности. Однако управление устройствами и передача профилей затрагивают персональные данные, поэтому при развёртывании учитывайте внутренние политики конфиденциальности и соответствие требованиям защиты данных.

Советы и лучшие практики

• Тестируйте профиль на одном устройстве перед массовой установкой.
• Используйте MDM для масштабного развёртывания и централизованного управления.
• Планируйте откат: сохранить резервные копии и инструкцию по удалению профиля.

Факты и оценки

• Время подготовки одного устройства: примерно 30–60 минут, включая загрузку iOS и восстановление из резервной копии.
• Риск потери данных при неверном выполнении: высокий, если не сделана резервная копия.

Краткое резюме

Always-on VPN обеспечивает жёсткую политику сетевой безопасности на iPhone и iPad, но требует IKEv2, режима supervision и установки профиля через Apple Configurator или MDM. Процесс включает стирание устройства при переводе в supervision, создание VPN-профиля с опцией Always-on и тестирование поведения при отключениях VPN.

Важно: всегда делайте резервные копии и тестируйте профиль в контролируемой среде.

Авторские права на изображение: William Hook on Flickr