iPhone-VPN-Profil abgelaufen? Drei verschiedene Ablaufarten

Der Satz das VPN-Profil ist abgelaufen beschreibt mindestens drei unzusammenhängende Ereignisse, und die Lösung ist für jedes anders. Ein Verwaltungsdienst kann eine Konfiguration nach seiner eigenen Lebenszyklusrichtlinie zurückziehen, ein Zertifikat kann das Ende seiner Gültigkeit erreichen, und ein Konto kann die Autorisierung weiter oben verlieren. Die Neuinstallation derselben Datei repariert nichts davon, es sei denn, Sie installieren sie im richtigen Moment. Stellen Sie fest, welches Objekt sich geändert hat, bevor Sie das Gerät anfassen.

Entfernen ist nicht dasselbe wie Ablaufen

Eine verwaltete Konfiguration ist ein Objekt mit einem Eigentümer, und der Eigentümer kann sie zurückziehen. Wenn das Verwaltungsprofil entfernt wird, verschwinden die gelieferten VPN-Einstellungen normalerweise mit ihm, und kein noch so häufiges erneutes Eingeben von Zugangsdaten bringt den Eintrag zurück. Eine deaktivierte Verbindung ist ein anderer Zustand: Das Profil ist vorhanden, der Schalter ist aus, und das Gerät kann die Schlüssel noch halten. Das Lesen des Einstellungsbildschirms sagt Ihnen, welchen der beiden Fälle Sie haben.

Eine On-Demand-Regel verkompliziert das Bild, weil sie eine gespeicherte Konfiguration ohne jede Benutzeraktion wieder hochfahren kann. Eine Verbindung, die sich von selbst wieder verbindet, beweist, dass das Profil vorhanden ist, und sagt nichts darüber, ob es aktuell ist. Fragen Sie den Administrator, ob die Konfiguration zurückgezogen, ersetzt oder zur Entfernung vorgesehen wurde, da die Profilliste des Geräts zeigt, was installiert ist, und nicht, was beabsichtigt war.

Die Zertifikatsgültigkeit läuft nach ihrer eigenen Uhr

Ein Clientzertifikat trägt ein Nicht-vor- und ein Nicht-nach-Datum, und das Gateway lehnt es außerhalb dieses Fensters ab. Die Gerätezeit ist Teil der Prüfung, sodass ein Telefon mit abweichender Uhr an einem Zertifikat scheitern kann, das überall sonst noch gültig ist. Der Fehlertext sagt selten, welche der beiden Bedingungen fehlgeschlagen ist, weshalb die Geräteuhr zum ersten Diagnoseschritt gehört. Ein falsches Passwort erzeugt einen anderen Fehler als ein abgelaufenes Zertifikat, und ein nicht erreichbarer Endpunkt einen dritten.

Bestehende Sitzungen verhalten sich anders als neue Authentifizierungen. Manche Implementierungen halten einen Tunnel am Leben, bis er neu verhandelt, sodass ein Client nach dem Ablauf des Zertifikats noch eine Weile gesund aussehen kann. Diese Verzögerung ist kein Beweis dafür, dass die Zugangsdaten gut sind, und eine funktionierende Sitzung ist kein erfolgreicher Anmeldetest.

Die Berechtigung lebt woanders

Der dritte Ablauf hat nichts mit dem Gerät zu tun: Das Konto hinter dem VPN kann seine Autorisierung verloren haben. Eine Änderung der Verzeichnisgruppe, ein Lizenzenddatum oder ein Offboarding-Schritt können den Zugriff entziehen, während Profil und Zertifikat vollkommen gültig bleiben. Das Telefon verhält sich dann genau wie ein defekter Client, weshalb diese Ursache normalerweise zuletzt entdeckt wird. Die eigenen Protokolle des Dienstes zeichnen die Ablehnung auf und nennen den Grund, und nur der Kontoinhaber kann sie lesen.

Unterscheiden Sie dies von falschen Zugangsdaten. Eine widerrufene Berechtigung weist ein korrektes Passwort zurück, während ein falsches Passwort eine korrekte Berechtigung zurückweist, und die beiden brauchen verschiedene Menschen, um sie zu beheben. Ein Helpdesk-Skript, das das Passwort für einen Benutzer zurücksetzt, dessen Gruppenmitgliedschaft entfernt wurde, verschwendet allen den Nachmittag.

Stellen Sie über die registrierende Organisation wieder her

Nutzen Sie den Registrierungs- oder Ersetzungsprozess der Organisation statt einer Kopie der alten Datei. Ein neu installiertes Profil trägt die dafür ausgestellte Identität, und ein alter Export kann eine bereits widerrufene Identität tragen. Der Wechsel des Ausgangsservers bewirkt nichts für den Zugang zu privater Arbeit, und eine Abschwächung der Zertifikatsprüfung erneuert nichts. Beides verwandelt ein Lebenszyklusproblem in eine Sicherheitsausnahme.

Öffnen Sie nach der Korrektur eine neue Verbindung und nutzen Sie die vorgesehene Anwendung, statt beim Abzeichen stehen zu bleiben. Bestätigen Sie, welches Profil und welche Identität jetzt installiert sind, denn ein Gerät kann ein altes und ein neues Profil gleichzeitig halten. Notieren Sie die drei Möglichkeiten getrennt im Ticket, da sie drei verschiedene Eigentümer und drei verschiedene Abhilfen haben.