Какво изтрива нулирането на iPhone от VPN настройката ви

Изтрийте телефона и VPN профилът може просто да не се върне. Резервното копие на iPhone носи много, но не е обещание, че частен ключ, управляван профил или състояние на регистрация ще се върнат с него. Разликата обикновено се появява часове по-късно, когато потребителят е на път и изтритият телефон е бил единственият работещ път за вход. Пет факта, записани предварително, предотвратяват този следобед.

Какво носи резервното копие и какво никога не е имало

Локално или iCloud резервно копие възстановява потребителски данни и много настройки на приложения и може да възстанови идентификационни данни, които приложението реши да включи. То не може да пресъздаде частен ключ, генериран в secure enclave и маркиран като неекспортируем, и не регистрира устройството отново в управление. Профил за конфигурация, пристигнал от MDM сървър, обикновено се доставя отново от този сървър, а не от резервното копие. И трите случая изглеждат еднакво на екрана Настройки и се държат различно след изтриване.

Разликата е важна, защото решава кой може да поправи проблема. Потребителските данни принадлежат на човека, профилът и неговите котви за доверие принадлежат на този, който ги е издал, а частният ключ принадлежи на услугата, която трябва да го преиздаде. Ако не можете да назовете тези три собственика преди нулирането, планът за възстановяване е непълен.

Един въпрос проверява плана: кой издава заместител, когато ключът е изчезнал? Ако отговорът е никой, не изтривайте телефона още.

Запишете онова, от което колега би могъл да възстанови

Запишете петте факта, които позволяват на някой друг да възстанови връзката: собственик на услугата, поддържан клиент и версия, име на крайна точка, протокол и порт и как се доставя профилът. Добавете частния DNS суфикс и вътрешните приложения, които се чупят без тунела, защото точно тях потребителят съобщава като счупен VPN дори когато тунелът работи. Пазете записа в тикета или уикито на екипа, никога в екранна снимка на зелена икона за състояние.

Възстановяването на автентикация е отделен запис и принадлежи в мениджъра на пароли или в процеса за идентичност на организацията. Събирането на ключове и пароли в незащитена бележка, защото предстои нулиране, е начинът, по който възстановимо събитие се превръща в инцидент. Записът трябва да казва къде живее материалът за възстановяване, а не да го възпроизвежда.

Назовете и човека, който може да одобри преиздаване на сертификат. Път за одобрение, който отнема два дни, е все още по-добър от откриването му в същия ден.

Управляваните и личните профили се връщат различно

Управляваното устройство получава настройките си отново, когато се регистрира наново, затова регистрацията идва преди възстановяването на потребителските данни. Личният профил е по-близо до изтеглен файл: след изтриването потребителят се нуждае от ново изтегляне от издаващата услуга и ново решение за доверие. Общото резервно копие възстановява настройки, а не частен ключ, генериран като неекспортируем, така че всяко идентификационно средство трябва да се проверява спрямо собствения му път за преиздаване, а не спрямо резултата от възстановяването.

Потвърдете метода за MFA в същия проход, защото телефонът, който получава push, често е телефонът, който се изтрива. Ако единственият регистриран фактор живее там, уредете втори чрез екипа за идентичност и проверения процес преди нулирането. Срокът на сертификата също принадлежи на този разговор, тъй като краткотраен сертификат може да изтече, докато устройството лежи в чекмедже, а ръководството на Apple за профили за конфигурация покрива подканите за инсталиране и премахване, които ще срещнете по пътя обратно. Ако инструкциите за настройка могат да се четат само зад VPN, скъсайте тази зависимост преди изтриването, а не след него.

Проверете възстановената връзка срещу реален ресурс

След възстановяването инсталирайте поддържания клиент или профил, влезте и отворете вътрешен ресурс, който изисква тунела. Индикаторът за свързаност доказва, че тунелът съществува, а не че разрешаването на имена и маршрутизацията достигат до услугата, от която потребителят се нуждае. Проверете и веригата за доверие: ако профилът представя непознат корен, спрете и потвърдете издателя, вместо да натиснете приемане, за да приключите бързо. Непознат корен, приет по време на прибързано възстановяване, е решение за доверие, взето случайно.

След това тествайте частите, които се чупят тихо: частният DNS суфикс, който се разрешава до вътрешен адрес, датата на сертификата и едно приложение, което зависи от тунела. Помолете потребителя да повтори входа без указания, защото опитът му е тестът за предаване.

Оттеглете старата идентичност на устройството, когато телефонът е сменен или нулирането е последвало загуба. Възстановяването на профил не отменя копие, което може да съществува другаде.

Списъкът за проверка преди нулиране, на едно място

Собственик, клиент, крайна точка, протокол и метод на доставяне; DNS суфиксът и зависимите приложения; пътят за възстановяване на MFA и кой го одобрява; пътят за преиздаване на сертификата и срокът му; и методът на регистрация за управлявано устройство. Ако някой ред е празен, нулирането е хвърляне на монета. Списъкът отнема десет минути и решава дали това е възстановяване, или прекъсване.

Съхранявайте го там, където човекът, който прави възстановяването, може да го прочете без телефона, и му дайте преглед на срока, защото крайните точки и собствениците се променят. Бележка за възстановяване, която цитира изведен от експлоатация шлюз, е по-лоша от липса на бележка, защото кани на уверено грешно действие.