Μια συσκευή Apple φεύγει από τη διαχείριση: τι γίνεται με το VPN της;
Η αφαίρεση ενός προφίλ διαχείρισης παίρνει μαζί της το φορτίο VPN και τα πιστοποιητικά του. Η απόσυρση του λογαριασμού πίσω από αυτό το VPN είναι ξεχωριστό βήμα.
Το τηλέφωνο που καταχωρίστηκε χθες εξακολουθεί να εμφανίζει καταχώριση VPN στις Ρυθμίσεις, και σήμερα αποσύρεται. Το αν η σήραγγα θα συνεχίσει να λειτουργεί εξαρτάται από δύο ανεξάρτητα πράγματα: το προφίλ διαχείρισης που παρέχει τη διαμόρφωση VPN και την ταυτότητα λογαριασμού ή πιστοποιητικού που εγκρίνει ο διακομιστής VPN. Η αφαίρεση του ενός δεν αφαιρεί το άλλο, γι’ αυτό οι αποσύρσεις που φαίνονται πλήρεις αφήνουν πίσω τους ένα έγκυρο διαπιστευτήριο. Ελέγξτε και τα δύο, με αυτή τη σειρά, πριν δηλώσετε τη συσκευή ολοκληρωμένη.
Δύο ξεχωριστές αφαιρέσεις που συχνά συγχέονται
Το προφίλ είναι τοπικό αντικείμενο: μεταφέρει τις ρυθμίσεις VPN, τα πιστοποιητικά ή τις προτιμήσεις ταυτότητας που τις συνοδεύουν και συχνά μερικούς περιορισμούς. Η εξουσιοδότηση είναι απομακρυσμένη: λογαριασμός χρήστη, πιστοποιητικό συσκευής ή εγγραφή καταχώρισης που κρατά όποιος τερματίζει τη σήραγγα. Το ένα διαγράφεται στο τηλέφωνο, το άλλο απενεργοποιείται σε μια κονσόλα που κανείς στο γραφείο δεν βλέπει.
Η αφαίρεση του προφίλ από τη συσκευή είναι ορατή και άμεση, γι’ αυτό μοιάζει με όλη τη δουλειά. Η ταυτότητα στην πλευρά του διακομιστή είναι αόρατη από το τηλέφωνο και παραμένει έγκυρη έως ότου κάποιος την απενεργοποιήσει. Μια διαδικασία απόσυρσης που διαγράφει μόνο το τοπικό αντικείμενο αφήνει διαπιστευτήριο που μπορεί να αντιγραφεί, να επαναφερθεί από αντίγραφο ασφαλείας ή να καταχωριστεί σε άλλη συσκευή. Επομένως οι δύο αφαιρέσεις ανήκουν σε διαφορετικούς υπευθύνους και διαφορετικούς καταλόγους ελέγχου.
Τι παίρνει μαζί του το προφίλ
Η διαγραφή ενός προφίλ διαχείρισης μπορεί να αφαιρέσει τη διαμόρφωση VPN μαζί με το πιστοποιητικό που την πιστοποιεί, και σε ορισμένες διατάξεις και τις εφαρμογές που είναι εγκατεστημένες δίπλα. Το ακριβές σύνολο εξαρτάται από το πώς παραδόθηκε το φορτίο και αν η συσκευή βρίσκεται υπό εποπτεία. Διαβάστε τη λίστα φορτίων πριν υποσχεθείτε σε κάποιον ότι θα εξαφανιστεί μόνο η σήραγγα.
Η διαγραφή δεν είναι το ίδιο με την απεγγραφή, γιατί η εγγραφή καταχώρισης μπορεί να εφαρμόσει ξανά το προφίλ την επόμενη φορά που η συσκευή θα συνδεθεί. Τα αρχεία ιδιοκτησίας καθορίζουν αν αυτή η εκ νέου ανάθεση θα γίνει καθόλου, και εξηγούν γιατί μια σβησμένη συσκευή μερικές φορές επιστρέφει διαχειριζόμενη. Διαβάστε τη μέθοδο καταχώρισης πριν προβλέψετε το αποτέλεσμα, και χρησιμοποιήστε τον πίνακα ως κατάλογο ελέγχου και όχι ως περιγραφή προεπιλογής οποιουδήποτε κατασκευαστή.
| Question | How to answer it | If the answer is wrong |
|---|---|---|
| Is the profile gone? | Settings lists no management profile and no managed VPN entry | the device still receives policy at the next check-in |
| Is the identity revoked? | the VPN server rejects that account or certificate | a copied credential still connects |
| Is the enrolment record updated? | the ownership system shows the device as retired | a wipe enrols the device again automatically |
| Is unrelated access intact? | personal or still-authorised services keep working | revocation reached more than the retired device |
Ο λογαριασμός λειτουργεί ακόμη και μετά την εξαφάνιση του προφίλ
Δοκιμάστε σκόπιμα την πλευρά του διακομιστή, γιατί μια συσκευή χωρίς προφίλ δεν αποδεικνύει τίποτα για το διαπιστευτήριο. Ένα αντιγραμμένο πιστοποιητικό, ένας αποθηκευμένος κωδικός ή μια δεύτερη καταχώριση μπορούν ακόμη να πιστοποιηθούν από αλλού.
Κρατήστε την ανάκληση στενή. Ένας κοινός εκδότης ή ένας λογαριασμός σε πολλές συσκευές μετατρέπει μια απόσυρση σε διακοπή λειτουργίας, και η πίεση να αποκατασταθεί γρήγορα η πρόσβαση είναι ο τρόπος με τον οποίο οι εξαιρέσεις γίνονται μόνιμες.
Επιβεβαιώστε τη συσκευή και την ταυτότητα χωριστά
Εκτελέστε τους δύο ελέγχους με τη σειρά και καταγράψτε και τα δύο αποτελέσματα: η συσκευή δεν κρατά πια το προφίλ και η ταυτότητα δεν μπορεί πια να στήσει σήραγγα. Επιβεβαιώστε επίσης ότι οι υπηρεσίες της συσκευής που εξακολουθούν να είναι εξουσιοδοτημένες δεν επηρεάζονται, γιατί μια απόσυρση που σπάει άσχετη πρόσβαση ανατρέπεται βιαστικά.
Αν η συσκευή αλλάξει χέρια, χρησιμοποιήστε τη διαδικασία ιδιοκτησίας αντί να παραδώσετε ένα λειτουργικό διαπιστευτήριο, και σημειώστε αν ο νέος κάτοχος πρέπει να καταχωριστεί ξανά. Κρατήστε σύντομο αρχείο για το τι αφαιρέθηκε, χωρίς να διατηρήσετε ιδιωτικά κλειδιά που κανείς δεν χρειάζεται μετά.