Was ein iPhone-Reset aus Ihrer VPN-Einrichtung löscht

Löschen Sie das Telefon, und das VPN-Profil kommt möglicherweise einfach nicht zurück. Ein iPhone-Backup trägt viel, aber es ist kein Versprechen, dass ein privater Schlüssel, ein verwaltetes Profil oder ein Registrierungsstatus damit zurückkommt. Die Lücke zeigt sich meist Stunden später, wenn der Nutzer unterwegs ist und das gelöschte Telefon der einzige funktionierende Anmeldeweg war. Fünf vorher notierte Fakten verhindern diesen Nachmittag.

Was ein Backup trägt und was es nie hatte

Ein lokales oder iCloud-Backup stellt Nutzerdaten und viele App-Einstellungen wieder her und kann Anmeldedaten wiederherstellen, die eine App aufzunehmen beschließt. Es kann keinen privaten Schlüssel neu erzeugen, der in der Secure Enclave erzeugt und als nicht exportierbar markiert wurde, und es registriert das Gerät nicht erneut in der Verwaltung. Ein Konfigurationsprofil, das von einem MDM-Server kam, wird normalerweise von diesem Server erneut ausgeliefert, nicht vom Backup. Alle drei Fälle sehen auf dem Bildschirm Einstellungen gleich aus und verhalten sich nach dem Löschen unterschiedlich.

Der Unterschied ist wichtig, weil er entscheidet, wer das Problem beheben kann. Nutzerdaten gehören der Person, das Profil und seine Vertrauensanker gehören dem, der sie ausgestellt hat, und der private Schlüssel gehört dem Dienst, der ihn neu ausstellen muss. Wenn Sie diese drei Eigentümer vor dem Reset nicht benennen können, ist der Wiederherstellungsplan unvollständig.

Eine Frage prüft den Plan: Wer stellt einen Ersatz aus, wenn der Schlüssel weg ist? Wenn die Antwort niemand lautet, löschen Sie das Telefon noch nicht.

Halten Sie fest, woraus ein Kollege wieder aufbauen könnte

Notieren Sie die fünf Fakten, die jemand anderem den Wiederaufbau der Verbindung ermöglichen: Dienst-Eigentümer, unterstützter Client und Version, Endpunktname, Protokoll und Port sowie die Art der Profilauslieferung. Ergänzen Sie das private DNS-Suffix und die internen Anwendungen, die ohne den Tunnel ausfallen, denn genau die meldet der Nutzer als kaputtes VPN, selbst wenn der Tunnel steht. Bewahren Sie den Eintrag im Ticket oder im Team-Wiki auf, nie in einem Screenshot eines grünen Statussymbols.

Die Wiederherstellung der Authentifizierung ist ein separater Eintrag und gehört in den Passwortmanager oder in den Identitätsprozess der Organisation. Schlüssel und Passwörter in einer ungeschützten Notiz zu sammeln, weil ein Reset bevorsteht, ist der Weg, auf dem ein wiederherstellbares Ereignis zum Vorfall wird. Der Eintrag sollte sagen, wo das Wiederherstellungsmaterial liegt, nicht es reproduzieren.

Benennen Sie auch die Person, die eine Zertifikats-Neuausstellung genehmigen kann. Ein Genehmigungsweg, der zwei Tage dauert, ist immer noch besser, als es am selben Tag zu entdecken.

Verwaltete und persönliche Profile kommen unterschiedlich zurück

Ein verwaltetes Gerät erhält seine Einstellungen wieder, wenn es sich erneut registriert, deshalb kommt die Registrierung vor der Wiederherstellung der Nutzerdaten. Ein persönliches Profil ähnelt eher einer heruntergeladenen Datei: nach dem Löschen braucht der Nutzer einen neuen Download vom ausstellenden Dienst und eine neue Vertrauensentscheidung. Ein allgemeines Backup stellt Einstellungen wieder her, nicht einen als nicht exportierbar erzeugten privaten Schlüssel, daher muss jede Anmeldedatei gegen ihren eigenen Neuausstellungsweg geprüft werden und nicht gegen das Wiederherstellungsergebnis.

Bestätigen Sie die MFA-Methode im selben Durchgang, denn das Telefon, das den Push erhält, ist oft das Telefon, das gelöscht wird. Wenn der einzige registrierte Faktor dort lebt, organisieren Sie vor dem Reset einen zweiten über das Identitätsteam und den verifizierten Prozess. Die Zertifikatslaufzeit gehört ebenfalls in dieses Gespräch, denn ein kurzlebiges Zertifikat kann ablaufen, während das Gerät in einer Schublade liegt, und Apples Leitfaden zu Konfigurationsprofilen deckt die Installations- und Entfernungsabfragen ab, die Ihnen auf dem Rückweg begegnen. Wenn die Einrichtungsanleitung nur hinter dem VPN lesbar ist, brechen Sie diese Abhängigkeit vor dem Löschen und nicht danach.

Prüfen Sie die wiederhergestellte Verbindung an einer echten Ressource

Installieren Sie nach der Wiederherstellung den unterstützten Client oder das Profil, melden Sie sich an und öffnen Sie eine interne Ressource, die den Tunnel erfordert. Eine Verbunden-Anzeige beweist, dass der Tunnel existiert, nicht dass Namensauflösung und Routing den Dienst erreichen, den der Nutzer braucht. Prüfen Sie auch die Vertrauenskette: Wenn das Profil eine unbekannte Wurzel vorlegt, halten Sie an und bestätigen Sie den Aussteller, statt auf Akzeptieren zu tippen, um schnell fertig zu werden. Eine unbekannte Wurzel, die während einer eiligen Wiederherstellung akzeptiert wird, ist eine versehentlich getroffene Vertrauensentscheidung.

Testen Sie dann die Teile, die still versagen: das private DNS-Suffix, das auf eine interne Adresse auflöst, das Zertifikatsdatum und eine Anwendung, die vom Tunnel abhängt. Bitten Sie den Nutzer, die Anmeldung ohne Anleitung zu wiederholen, denn sein Versuch ist die Übergabeprüfung.

Ziehen Sie die alte Geräteidentität zurück, wenn das Telefon ersetzt wird oder der Reset auf einen Verlust folgte. Das Wiederherstellen eines Profils widerruft keine Kopie, die anderswo noch existieren kann.

Die Checkliste vor dem Reset, an einem Ort

Eigentümer, Client, Endpunkt, Protokoll und Auslieferungsmethode; das DNS-Suffix und abhängige Anwendungen; der MFA-Wiederherstellungsweg und wer ihn genehmigt; der Neuausstellungsweg des Zertifikats und seine Laufzeit; und die Registrierungsmethode für ein verwaltetes Gerät. Wenn eine Zeile leer ist, ist der Reset ein Münzwurf. Die Liste dauert zehn Minuten und entscheidet, ob dies eine Wiederherstellung oder ein Ausfall ist.

Lagern Sie sie dort, wo die Person, die die Wiederherstellung durchführt, sie ohne das Telefon lesen kann, und geben Sie ihr eine Ablaufprüfung, denn Endpunkte und Eigentümer ändern sich. Eine Wiederherstellungsnotiz, die ein außer Betrieb genommenes Gateway zitiert, ist schlimmer als keine Notiz, denn sie lädt zu einer selbstsicheren falschen Handlung ein.