iPhone VPN-profil udløbet? Tre forskellige udløb

Sætningen VPN-profilen er udløbet beskriver mindst tre ikke-relaterede hændelser, og løsningen er forskellig for hver. En styringstjeneste kan trække en konfiguration tilbage efter sin egen livscykluspolitik, et certifikat kan nå slutningen af sin gyldighed, og en konto kan miste autorisation længere oppe. Geninstallation af den samme fil reparerer ingen af dem, medmindre du tilfældigvis installerer den på det rigtige tidspunkt. Fastslå, hvilket objekt der ændrede sig, før du rører enheden.

Fjernelse er ikke det samme som udløb

En administreret konfiguration er et objekt med en ejer, og ejeren kan trække den tilbage. Når styringsprofilen fjernes, forsvinder de VPN-indstillinger, den leverede, normalt med den, og ingen mængde genindtastning af legitimationsoplysninger bringer posten tilbage. En deaktiveret forbindelse er en anden tilstand: profilen er der, kontakten er slukket, og enheden kan stadig have nøglerne. Læsning af indstillingsskærmen fortæller dig, hvilken af de to du har.

En on-demand-regel komplicerer billedet, fordi den kan bringe en gemt konfiguration op igen uden nogen brugerhandling. En forbindelse, der selv genopretter, beviser, at profilen er der, og siger intet om, hvorvidt den er aktuel. Spørg administratoren, om konfigurationen blev trukket tilbage, erstattet eller planlagt fjernet, da enhedens profilliste viser, hvad der er installeret, frem for hvad der var hensigten.

Certifikatets gyldighed kører på sit eget ur

Et klientcertifikat bærer en ikke-før- og en ikke-efter-dato, og gatewayen afviser det uden for det vindue. Enhedstid er en del af kontrollen, så en telefon med et forskubbet ur kan fejle på et certifikat, der stadig er gyldigt alle andre steder. Fejlteksten siger sjældent, hvilken af de to betingelser der fejlede, og derfor hører enhedens ur til det første diagnostiske trin. En forkert adgangskode giver en anden fejl end et udløbet certifikat, og et utilgængeligt endepunkt giver en tredje.

Eksisterende sessioner opfører sig anderledes end nye godkendelser. Nogle implementeringer holder en tunnel i live, indtil den forhandler igen, så en klient kan se sund ud et stykke tid efter, at certifikatet er udløbet. Den forsinkelse er ikke bevis for, at legitimationsoplysningerne er gode, og en fungerende session er ikke en vellykket login-test.

Rettigheden bor et andet sted

Det tredje udløb har intet med enheden at gøre: kontoen bag VPN'en kan have mistet sin autorisation. En ændring af mappegruppe, en licensslutdato eller et offboarding-trin kan tilbagekalde adgangen, mens profilen og certifikatet forbliver fuldstændig gyldige. Telefonen opfører sig så præcis som en ødelagt klient, og derfor opdages denne årsag normalt sidst. Tjenestens egne logfiler registrerer afvisningen og angiver årsagen, og kun kontoejeren kan læse dem.

Skeln dette fra forkerte legitimationsoplysninger. En tilbagekaldt rettighed afviser en korrekt adgangskode, mens en forkert adgangskode afviser en korrekt rettighed, og de to har brug for forskellige mennesker til at rette dem. Et script fra helpdesken, der nulstiller en adgangskode for en bruger, hvis gruppemedlemskab er fjernet, spilder alles eftermiddag.

Gendan gennem den indmeldende organisation

Brug organisationens indmeldelses- eller udskiftningsproces i stedet for en kopi af den gamle fil. En geninstalleret profil bærer den identitet, der blev udstedt til den, og en gammel eksport kan bære en identitet, der allerede er tilbagekaldt. At skifte udgangsserver gør intet for adgang til privat arbejde, og at svække certifikatvalideringen fornyer intet. Begge forvandler et livscyklusproblem til en sikkerhedsundtagelse.

Efter rettelsen åbner du en ny forbindelse og bruger det tilsigtede program i stedet for at stoppe ved mærket. Bekræft, hvilken profil og hvilken identitet der er installeret nu, fordi en enhed kan have en gammel og en ny profil på samme tid. Notér de tre muligheder separat i billetten, da de har tre forskellige ejere og tre forskellige løsninger.