今年秋季，iOS 27 可能拒绝连接配置不当的服务器

版本 27 会改变什么

Apple 支持文档称，从 iOS、iPadOS、macOS、watchOS、tvOS 和 visionOS 27.0 起，系统可能拒绝连接 TLS 配置过时或不合规的服务器。26.4 及以后版本通常记录警告并继续连接；到 27，类似问题可能变成错误并停止连接。

哪些通信受影响

范围包括 MDM、声明式设备管理、自动设备注册、配置描述文件安装、企业分发在内的应用安装，以及软件更新。普通应用 API 流量不是本文档的主要对象。SCEP 服务器和内容缓存服务器也被明确排除。

服务器需要满足什么条件

服务器必须支持 TLS 1.2 或更高版本，苹果建议使用 1.3。仍使用 1.2 时，需要通过 ECDHE 提供前向保密，使用 AES-GCM 与 SHA-256/384/512 的 AEAD 套件，并支持 RFC 7627 的 extended master secret。证书还需达到 RSA 2048 位或 ECDSA 256 位，叶证书使用 SHA-2 签名。

怎样提前排查

苹果建议在运行 26.4 或更高版本的测试设备上安装 Network Diagnostics Logging Profile，执行真实的注册、安装和更新流程，再收集 sysdiagnose。管理员应搜索 ATS Violation 或 ATS FCPv2.1 violation，并用 nscurl --ats-diagnostics 检查单个域名。不同设备角色可能访问不同服务器，因此不能只测试一台设备。

第三方供应商最难处理

苹果特别提醒，外部供应商维护的服务器可能需要较长时间整改。企业可以修改自己的负载均衡器，却无法直接修改 MDM 服务商、企业应用分发主机或已停止更新的设备。后者意味着提交工单、进行合同沟通，甚至迁移。

普通用户会看到什么

未受组织管理的 iPhone 或 Mac 通常不会出现可感知的变化。企业或学校管理的设备在升级到 27 后，可能出现应用安装或系统更新失败；修复工作应由组织及其供应商完成，而不是让用户反复重置设备。