如何通过代码获取并管理MDM部署的iOS Per-App VPN的NETunnelProviderManager？

首先要明确：MDM推送的Per-App VPN属于受管理配置，和手动创建的用户级Device VPN分属不同范畴。你之前的代码未做配置过滤，且错误尝试保存受管理配置，才会触发新用户级VPN的创建，导致设备出现两个VPN条目。

正确处理步骤如下：

1. 过滤获取MDM管理的Per-App VPN实例 #

修改加载逻辑，优先筛选出MDM推送的受管理配置：

NETunnelProviderManager.loadAllFromPreferences { managers, error in
    guard let managers = managers else {
        // 处理加载错误
        return
    }
    // 过滤出受管理、且provider bundle ID匹配的Per-App VPN配置
    let targetManager = managers.first { manager in
        guard let tunnelProtocol = manager.protocolConfiguration as? NETunnelProviderProtocol else {
            return false
        }
        // 替换为你的NEPacketTunnelProvider扩展的bundle ID
        let expectedProviderBundleID = "com.yourcompany.yourapp.NetworkExtension"
        return manager.isManaged && tunnelProtocol.providerBundleIdentifier == expectedProviderBundleID
    }
    
    if let perAppVPNManager = targetManager {
        self.manager = perAppVPNManager
        // 受管理配置不可修改或保存，直接按需启动即可
        if perAppVPNManager.connection.status != .connected {
            do {
                try perAppVPNManager.connection.startVPNTunnel()
            } catch {
                // 处理启动错误
            }
        }
    } else {
        // 未找到MDM配置的Per-App VPN，可回退创建用户级Device VPN（可选）
        self.manager = NETunnelProviderManager()
        self.manager.protocolConfiguration = getConfiguration()
        self.manager.saveToPreferences { saveError in
            // 处理保存错误或显示连接按钮
        }
    }
}

2. 关键注意事项 #

• 禁止修改受管理配置：MDM推送的Per-App VPN（isManaged == true）不允许调用saveToPreferences，任何修改尝试都会失败，还会触发系统创建新的用户级VPN。
• 按需启动逻辑：通常MDM配置的Per-App VPN会开启onDemandEnabled，系统会在指定应用启动时自动触发连接。若需手动启动，需确保MDM配置中允许应用控制VPN权限。
• Bundle ID严格匹配：MDM配置中的VPN provider bundle ID必须与你的NEPacketTunnelExtension扩展bundle ID完全一致，否则无法匹配到对应manager。

3. 排查要点 #

若仍无法获取受管理manager：

• 检查MDM是否正确推送Per-App VPN配置，且provider bundle ID与扩展一致。
• 确认应用已被MDM列为Per-App VPN的关联应用。
• 验证设备「设置」→「VPN」中是否存在该Per-App VPN条目，且状态为「已配置」。

内容的提问来源于stack exchange，提问作者user8472