Un dispositiu Apple surt de la gestió: què passa amb la seva VPN?
Treure un perfil de gestió s’emporta la càrrega de VPN i els seus certificats. Retirar el compte que hi ha darrere d’aquesta VPN és un pas a part.
El telèfon inscrit ahir encara mostra una entrada de VPN a Ajustos, i avui es retira. Que el túnel continuï funcionant depèn de dues coses independents: el perfil de gestió que proporciona la configuració de VPN i la identitat del compte o del certificat que autoritza el servidor de VPN. Treure’n un no treu l’altre, i per això les retirades que semblen completes deixen una credencial vàlida. Comprova les dues coses, en aquest ordre, abans de donar el dispositiu per acabat.
Dues eliminacions separades que sovint es confonen
El perfil és un objecte local: porta la configuració de VPN, els certificats o les preferències d’identitat que hi van associats i sovint unes quantes restriccions. L’autorització és remota: un compte d’usuari, un certificat de dispositiu o un registre d’inscripció que guarda qui acaba el túnel. Un se suprimeix al telèfon, l’altre es desactiva en una consola que ningú a la taula no veu.
Treure el perfil del dispositiu és visible i immediat, cosa que fa que sembli tota la feina. La identitat del costat del servidor és invisible des del telèfon i continua sent vàlida fins que algú la desactiva. Un procés de retirada que només suprimeix l’objecte local deixa una credencial que es pot copiar, restaurar d’una còpia de seguretat o inscriure en un altre dispositiu. Per tant, les dues eliminacions pertanyen a propietaris diferents i a llistes de comprovació diferents.
Què s’emporta el perfil
Suprimir un perfil de gestió pot eliminar la configuració de VPN juntament amb el certificat que l’autentica i, en algunes disposicions, les aplicacions instal·lades al costat. El conjunt exacte depèn de com es va lliurar la càrrega i de si el dispositiu està supervisat. Llegeix la llista de càrregues abans de prometre a algú que només desapareixerà el túnel.
Esborrar no és el mateix que desinscriure, perquè el registre d’inscripció pot tornar a aplicar el perfil la propera vegada que el dispositiu es connecti. Els registres de propietat decideixen si aquesta reassignació arriba a passar i expliquen per què un dispositiu esborrat de vegades torna gestionat. Llegeix el mètode d’inscripció abans de predir el resultat i fes servir la taula com a llista de comprovació, no com a descripció de cap valor per defecte de cap fabricant.
| Question | How to answer it | If the answer is wrong |
|---|---|---|
| Is the profile gone? | Settings lists no management profile and no managed VPN entry | the device still receives policy at the next check-in |
| Is the identity revoked? | the VPN server rejects that account or certificate | a copied credential still connects |
| Is the enrolment record updated? | the ownership system shows the device as retired | a wipe enrols the device again automatically |
| Is unrelated access intact? | personal or still-authorised services keep working | revocation reached more than the retired device |
El compte encara funciona quan el perfil ja no hi és
Prova el costat del servidor de manera deliberada, perquè un dispositiu sense perfil no demostra res sobre la credencial. Un certificat copiat, una contrasenya desada o una segona inscripció encara es poden autenticar des d’un altre lloc.
Mantén la revocació estreta. Un emissor compartit o un sol compte usat en diversos dispositius converteix una retirada en una caiguda, i la pressió per restablir l’accés de pressa és com les excepcions es tornen permanents.
Confirma el dispositiu i la identitat per separat
Fes les dues comprovacions per ordre i anota tots dos resultats: el dispositiu ja no té el perfil i la identitat ja no pot establir un túnel. Confirma també que els serveis del dispositiu que encara estan autoritzats no es veuen afectats, perquè una retirada que trenca accés no relacionat es desfà de seguida.
Si el dispositiu canvia de mans, fes servir el procés de propietat en lloc de lliurar una credencial operativa, i anota si el nou titular s’ha de tornar a inscriure. Guarda un registre breu del que s’ha eliminat, sense conservar claus privades que després ningú necessita.