Apple-enhed forlader styring: hvad sker der med dens VPN?
Fjernelse af en styringsprofil tager VPN-pakken og dens certifikater med sig. At trække kontoen bag den VPN tilbage er et separat skridt.
Telefonen, der blev tilmeldt i går, viser stadig en VPN-post i Indstillinger, og i dag udfases den. Om tunnelen bliver ved med at virke, afhænger af to uafhængige ting: styringsprofilen, der leverer VPN-konfigurationen, og identiteten af den konto eller certifikat, som VPN-serveren godkender. At fjerne den ene fjerner ikke den anden, og derfor efterlader udfasninger, der ser fuldstændige ud, en gyldig adgangsoplysning. Kontrollér begge, i den rækkefølge, før du erklærer enheden færdig.
To separate fjernelser, ofte forvekslet
Profilen er et lokalt objekt: den bærer VPN-indstillingerne, certifikaterne eller identitetspreferencerne, der følger med, og ofte nogle få begrænsninger. Godkendelsen er fjern: en brugerkonto, et enhedscertifikat eller en registreringspost, som den part, der afslutter tunnelen, ligger inde med. Den ene slettes på telefonen, den anden deaktiveres i en konsol, som ingen ved skrivebordet kan se.
At fjerne profilen fra enheden er synligt og øjeblikkeligt, hvilket får det til at føles som hele opgaven. Identiteten på serversiden er usynlig fra telefonen og forbliver gyldig, indtil nogen deaktiverer den. En udfasningsproces, der kun sletter det lokale objekt, efterlader en adgangsoplysning, som kan kopieres, gendannes fra en sikkerhedskopi eller tilmeldes på en anden enhed. De to fjernelser hører derfor til forskellige ejere og forskellige tjeklister.
Hvad profilen tager med sig
Sletning af en styringsprofil kan fjerne VPN-konfigurationen sammen med det certifikat, der autentificerer den, og i visse opsætninger også de apps, der er installeret ved siden af. Det præcise sæt afhænger af, hvordan pakken blev leveret, og om enheden er under opsyn. Læs pakkelisten, før du lover nogen, at kun tunnelen forsvinder.
Sletning er ikke det samme som afmelding, fordi registreringsposten kan anvende profilen igen, næste gang enheden melder sig. Ejerskabsposter afgør, om den gentildeling overhovedet sker, og de forklarer, hvorfor en slettet enhed nogle gange kommer tilbage som styret. Læs tilmeldingsmetoden, før du forudsiger resultatet, og brug tabellen som tjekliste snarere end som beskrivelse af en leverandørs standard.
| Question | How to answer it | If the answer is wrong |
|---|---|---|
| Is the profile gone? | Settings lists no management profile and no managed VPN entry | the device still receives policy at the next check-in |
| Is the identity revoked? | the VPN server rejects that account or certificate | a copied credential still connects |
| Is the enrolment record updated? | the ownership system shows the device as retired | a wipe enrols the device again automatically |
| Is unrelated access intact? | personal or still-authorised services keep working | revocation reached more than the retired device |
Kontoen virker stadig, efter profilen er væk
Test serversiden med vilje, fordi en enhed uden profil ikke beviser noget om adgangsoplysningen. Et kopieret certifikat, en gemt adgangskode eller en anden tilmelding kan stadig autentificere et andet sted fra.
Hold tilbagekaldelsen smal. En delt udsteder eller én konto brugt på flere enheder gør en udfasning til et nedbrud, og presset for hurtigt at genskabe adgang er, hvordan undtagelser bliver permanente.
Bekræft enheden og identiteten hver for sig
Gå de to kontroller igennem i rækkefølge, og notér begge resultater: enheden har ikke længere profilen, og identiteten kan ikke længere etablere en tunnel. Bekræft også, at tjenester på enheden, der stadig er godkendt, er upåvirkede, fordi en udfasning, der bryder uvedkommen adgang, hurtigt bliver rullet tilbage.
Hvis enheden skifter hænder, brug ejerskabsprocessen i stedet for at overdrage en fungerende adgangsoplysning, og notér, om den nye ejer skal tilmelde sig igen. Før en kort registrering af, hvad der blev fjernet, uden at beholde private nøgler, som ingen har brug for bagefter.