Што скід iPhone выдаляе з вашай налады VPN

Сцярыце тэлефон — і профіль VPN можа проста не вярнуцца. Рэзервовая копія iPhone нясе шмат чаго, але яна не абяцае, што прыватны ключ, кіраваны профіль або стан рэгістрацыі вернуцца разам з ёй. Разрыў звычайна выяўляецца праз гадзіны, калі карыстальнік у дарозе, а сцёрты тэлефон быў адзіным працоўным шляхам уваходу. Пяць фактаў, запісаных загадзя, прадухіляюць гэты пасляабедзенны час.

Што нясе рэзервовая копія і чаго ў ёй ніколі не было

Лакальная копія або копія iCloud аднаўляе даныя карыстальніка і шматлікія налады праграм, і яна можа аднавіць уліковыя даныя, якія праграма вырашыла ўключыць. Яна не можа аднавіць прыватны ключ, створаны ўнутры secure enclave і пазначаны як неэкспартуемы, і не рэгіструе прыладу ў кіраванні зноў. Профіль канфігурацыі, які прыйшоў з сервера MDM, звычайна дастаўляецца зноў гэтым серверам, а не рэзервовай копіяй. Усе тры выпадкі выглядаюць аднолькава на экране Налады і паводзяць сябе па-рознаму пасля сцірання.

Гэта адрозненне важнае, бо яно вырашае, хто можа выправіць праблему. Даныя карыстальніка належаць чалавеку, профіль і яго якары даверу належаць таму, хто іх выдаў, а прыватны ключ належыць сэрвісу, які павінен яго перааформіць. Калі вы не можаце назваць гэтых трох уладальнікаў да скіду, план аднаўлення няпоўны.

Адно пытанне правярае план: хто выдае замену, калі ключ знік? Калі адказ — ніхто, не сцірайце тэлефон пакуль.

Запішыце тое, з чаго калега зможа аднавіць

Запішыце пяць фактаў, якія дазволяць іншаму чалавеку аднавіць злучэнне: уладальнік сэрвісу, падтрымліваемы кліент і версія, імя канчатковага пункта, пратакол і порт, і як дастаўляецца профіль. Дадайце прыватны суфікс DNS і ўнутраныя праграмы, якія ламаюцца без тунеля, бо менавіта іх карыстальнік паведамляе як зламаны VPN, нават калі тунель працуе. Трымайце запіс у тыкеце або вікі каманды, ніколі ў здымку экрана зялёнай іконкі стану.

Аднаўленне аўтэнтыфікацыі — асобны запіс, і ён належыць мэнэджару пароляў або працэсу ідэнтычнасці арганізацыі. Збор ключоў і пароляў у незабаронены нататак, таму што набліжаецца скід, — гэта шлях, якім падзея, якую можна аднавіць, ператвараецца ў інцыдэнт. Запіс павінен казаць, дзе жыве матэрыял аднаўлення, а не ўзнаўляць яго.

Назвіце таксама чалавека, які можа ўхваліць пераафармленне сертыфіката. Шлях ухвалення, які займае два дні, усё яшчэ лепш за выяўленне гэтага ў той самы дзень.

Кіраваныя і асабістыя профілі вяртаюцца па-рознаму

Кіраваная прылада зноў атрымлівае свае налады, калі паўторна рэгіструецца, таму рэгістрацыя ідзе перад аднаўленнем даных карыстальніка. Асабісты профіль бліжэй да спампаванага файла: пасля сцірання карыстальніку патрэбна новае спампоўванне ад сэрвісу, які выдаў, і новае рашэнне аб даверы. Агульная рэзервовая копія аднаўляе налады, а не прыватны ключ, створаны як неэкспартуемы, таму кожныя ўліковыя даныя трэба правяраць па іх уласным шляху пераафармлення, а не па выніку аднаўлення.

Пацвердзіце метад MFA ў тым жа праходзе, бо тэлефон, які атрымлівае push, часта і ёсць тэлефон, які сціраюць. Калі адзіны зарэгістраваны фактар жыве там, арганізуйце другі праз каманду ідэнтычнасці і правераны працэс да скіду. Тэрмін дзеяння сертыфіката таксама належыць да той размовы, бо кароткачасовы сертыфікат можа скончыцца, пакуль прылада ляжыць у шуфлядзе, а даведнік Apple па профілях канфігурацыі ахоплівае запыты ўсталявання і выдалення, якія вы сустрэнеце на зваротным шляху. Калі інструкцыі па наладзе можна прачытаць толькі праз VPN, разбурыце гэтую залежнасць да сцірання, а не пасля.

Праверце адноўленае злучэнне на рэальным рэсурсе

Пасля аднаўлення ўсталюйце падтрымліваемы кліент або профіль, увайдзіце і адкрыйце ўнутраны рэсурс, які патрабуе тунеля. Індыкатар злучэння даказвае, што тунель існуе, а не тое, што развязанне імёнаў і маршрутызацыя дасягаюць патрэбнага карыстальніку сэрвісу. Праверце таксама ланцуг даверу: калі профіль прапануе невядомы корань, спыніцеся і пацвердзіце выдаўцу, а не націскайце прыняць, каб скончыць хутчэй. Невядомы корань, прыняты падчас спешнага аднаўлення, — гэта рашэнне аб даверы, прынятае выпадкова.

Затым праверце часткі, якія ціха ламаюцца: прыватны суфікс DNS, які развязваецца ва ўнутраны адрас, дату сертыфіката і адну праграму, якая залежыць ад тунеля. Папрасіце карыстальніка паўтарыць уваход без падказкі, бо яго спроба і ёсць праверкай перадачы.

Вывядзіце старую ідэнтычнасць прылады са строю, калі тэлефон заменены або скід адбыўся пасля страты. Аднаўленне профілю не адклікае копію, якая можа ўсё яшчэ існаваць дзесьці.

Кантрольны спіс перад скідам, у адным месцы

Уладальнік, кліент, канчатковы пункт, пратакол і спосаб дастаўкі; суфікс DNS і залежныя праграмы; шлях аднаўлення MFA і хто яго ўхваляе; шлях пераафармлення сертыфіката і яго тэрмін; і спосаб рэгістрацыі для кіраванай прылады. Калі хоць адзін радок пусты, скід — гэта кідок манеты. Спіс займае дзесяць хвілін і вырашае, аднаўленне гэта ці збой.

Захоўвайце яго там, дзе чалавек, які робіць аднаўленне, зможа прачытаць яго без тэлефона, і дайце яму перагляд тэрміну, бо канчатковыя пункты і ўладальнікі змяняюцца. Нататка аднаўлення, якая цытуе выведзены з эксплуатацыі шлюз, горш за адсутнасць нататкі, бо яна запрашае ўпэўненае няправільнае дзеянне.