Perfil VPN de l'iPhone caducat? Tres caducitats diferents

La frase el perfil VPN ha caducat descriu com a mínim tres esdeveniments no relacionats, i la solució és diferent per a cadascun. Un servei de gestió pot retirar una configuració segons la seva pròpia política de cicle de vida, un certificat pot arribar al final de la seva validesa i un compte pot perdre l'autorització aigües amunt. Reinstal·lar el mateix fitxer no repara cap d'aquests casos, tret que el instal·leu en el moment adequat. Determineu quin objecte ha canviat abans de tocar el dispositiu.

Retirar no és el mateix que caducar

Una configuració gestionada és un objecte amb un propietari, i el propietari pot retirar-la. Quan es retira el perfil de gestió, la configuració VPN que va lliurar normalment se'n va amb ell, i cap quantitat de reintroduir credencials fa tornar l'entrada. Una connexió desactivada és un estat diferent: el perfil hi és, l'interruptor està apagat i el dispositiu pot conservar encara les claus. Llegir la pantalla de configuració us diu quin dels dos teniu.

Una regla sota demanda complica la imatge, perquè pot tornar a aixecar una configuració desada sense cap acció de l'usuari. Una connexió que es reconnecta sola demostra que el perfil hi és i no diu res sobre si és actual. Pregunteu a l'administrador si la configuració s'ha retirat, substituït o programat per eliminar-se, ja que la llista de perfils del dispositiu mostra què hi ha instal·lat, no què es pretenia.

La validesa del certificat va pel seu propi rellotge

Un certificat de client porta una data no abans i una data no després, i la passarel·la el rebutja fora d'aquesta finestra. L'hora del dispositiu forma part de la comprovació, de manera que un telèfon amb el rellotge desviat pot fallar en un certificat que encara és vàlid a qualsevol altre lloc. El text de l'error poques vegades diu quina de les dues condicions ha fallat, i per això el rellotge del dispositiu pertany al primer pas de diagnòstic. Una contrasenya incorrecta produeix una fallada diferent d'un certificat caducat, i un extrem inabastable en produeix una tercera.

Les sessions existents es comporten de manera diferent de les autenticacions noves. Algunes implementacions mantenen el túnel viu fins que es renegocia, així que un client pot semblar sa durant una estona després que el certificat hagi caducat. Aquest retard no és prova que la credencial sigui bona, i una sessió que funciona no és una prova d'inici de sessió reeixida.

El dret viu en un altre lloc

La tercera caducitat no té res a veure amb el dispositiu: el compte darrere de la VPN pot haver perdut la seva autorització. Un canvi de grup del directori, una data de final de llicència o un pas de baixa poden revocar l'accés mentre el perfil i el certificat continuen perfectament vàlids. Llavors el telèfon es comporta exactament com un client espatllat, i per això aquesta causa normalment es descobreix l'última. Els registres del propi servei anoten la negativa i nomenen el motiu, i només el propietari del compte els pot llegir.

Distingiu això d'una credencial incorrecta. Un dret revocat rebutja una contrasenya correcta, mentre que una contrasenya incorrecta rebutja un dret correcte, i els dos necessiten persones diferents per arreglar-los. Un script de l'ajuda que restableix la contrasenya d'un usuari a qui s'ha retirat la pertinença al grup fa perdre la tarda a tothom.

Restaureu a través de l'organització que fa la inscripció

Utilitzeu el procés d'inscripció o de substitució de l'organització en lloc d'una còpia del fitxer antic. Un perfil reinstal·lat porta la identitat emesa per a ell, i una exportació antiga pot portar una identitat ja revocada. Canviar el servidor de sortida no fa res per a l'accés al treball privat, i debilitar la validació del certificat no renova res. Tots dos converteixen un problema de cicle de vida en una excepció de seguretat.

Després de la correcció, obriu una connexió nova i utilitzeu l'aplicació prevista en lloc d'aturar-vos a la insígnia. Confirmeu quin perfil i quina identitat hi ha instal·lats ara, perquè un dispositiu pot tenir un perfil antic i un de nou alhora. Registreu les tres possibilitats per separat al tiquet, ja que tenen tres propietaris diferents i tres remeis diferents.