Τι σβήνει μια επαναφορά iPhone από τη ρύθμιση VPN σας

Σβήστε το τηλέφωνο και το προφίλ VPN μπορεί απλώς να μην επιστρέψει. Ένα αντίγραφο ασφαλείας iPhone κουβαλά πολλά, αλλά δεν είναι υπόσχεση ότι ένα ιδιωτικό κλειδί, ένα διαχειριζόμενο προφίλ ή μια κατάσταση εγγραφής θα επιστρέψουν μαζί του. Το κενό συνήθως εμφανίζεται ώρες αργότερα, όταν ο χρήστης ταξιδεύει και το σβησμένο τηλέφωνο ήταν η μόνη διαδρομή σύνδεσης που λειτουργούσε. Πέντε γεγονότα γραμμένα εκ των προτέρων αποτρέπουν εκείνο το απόγευμα.

Τι κουβαλά ένα αντίγραφο ασφαλείας και τι δεν είχε ποτέ

Ένα τοπικό αντίγραφο ή αντίγραφο iCloud επαναφέρει δεδομένα χρήστη και πολλές ρυθμίσεις εφαρμογών, και μπορεί να επαναφέρει διαπιστευτήρια που μια εφαρμογή επιλέγει να συμπεριλάβει. Δεν μπορεί να αναδημιουργήσει ένα ιδιωτικό κλειδί που δημιουργήθηκε μέσα στο secure enclave και σημάνθηκε ως μη εξαγώγιμο, ούτε εγγράφει ξανά τη συσκευή στη διαχείριση. Ένα προφίλ διαμόρφωσης που έφτασε από διακομιστή MDM συνήθως παραδίδεται ξανά από εκείνον τον διακομιστή, όχι από το αντίγραφο ασφαλείας. Και οι τρεις περιπτώσεις φαίνονται ίδιες στην οθόνη Ρυθμίσεις και συμπεριφέρονται διαφορετικά μετά τη διαγραφή.

Η διάκριση έχει σημασία γιατί καθορίζει ποιος μπορεί να διορθώσει το πρόβλημα. Τα δεδομένα χρήστη ανήκουν στο άτομο, το προφίλ και οι άγκυρες εμπιστοσύνης του ανήκουν σε όποιον τα εξέδωσε, και το ιδιωτικό κλειδί ανήκει στην υπηρεσία που πρέπει να το επανεκδώσει. Αν δεν μπορείτε να ονομάσετε αυτούς τους τρεις ιδιοκτήτες πριν από την επαναφορά, το σχέδιο επαναφοράς είναι ελλιπές.

Μία ερώτηση δοκιμάζει το σχέδιο: ποιος εκδίδει αντικαταστάτη όταν το κλειδί χαθεί; Αν η απάντηση είναι κανείς, μην σβήσετε ακόμη το τηλέφωνο.

Καταγράψτε από τι θα μπορούσε να ξαναχτίσει ένας συνάδελφος

Γράψτε τα πέντε γεγονότα που επιτρέπουν σε κάποιον άλλο να ξαναχτίσει τη σύνδεση: ιδιοκτήτης υπηρεσίας, υποστηριζόμενος πελάτης και έκδοση, όνομα τελικού σημείου, πρωτόκολλο και θύρα, και πώς παραδίδεται το προφίλ. Προσθέστε το ιδιωτικό επίθημα DNS και τις εσωτερικές εφαρμογές που σπάνε χωρίς τη σήραγγα, γιατί αυτά αναφέρει ο χρήστης ως χαλασμένο VPN ακόμη και όταν η σήραγγα είναι ενεργή. Κρατήστε την εγγραφή στο δελτίο ή στο wiki της ομάδας, ποτέ σε στιγμιότυπο οθόνης ενός πράσινου εικονιδίου κατάστασης.

Η ανάκτηση ταυτοποίησης είναι ξεχωριστή εγγραφή και ανήκει στον διαχειριστή κωδικών ή στη διαδικασία ταυτότητας του οργανισμού. Το να μαζεύετε κλειδιά και κωδικούς σε ένα απροστάτευτο σημείωμα επειδή έρχεται επαναφορά είναι ο τρόπος με τον οποίο ένα ανακτήσιμο συμβάν γίνεται περιστατικό. Η εγγραφή πρέπει να λέει πού ζει το υλικό ανάκτησης, όχι να το αναπαράγει.

Ονομάστε επίσης το άτομο που μπορεί να εγκρίνει επανέκδοση πιστοποιητικού. Μια διαδρομή έγκρισης που παίρνει δύο ημέρες είναι ακόμη καλύτερη από το να το ανακαλύψετε την ίδια ημέρα.

Τα διαχειριζόμενα και τα προσωπικά προφίλ επιστρέφουν διαφορετικά

Μια διαχειριζόμενη συσκευή λαμβάνει ξανά τις ρυθμίσεις της όταν επανεγγραφεί, γι’ αυτό η εγγραφή προηγείται της επαναφοράς δεδομένων χρήστη. Ένα προσωπικό προφίλ μοιάζει περισσότερο με ληφθέν αρχείο: μετά τη διαγραφή ο χρήστης χρειάζεται νέα λήψη από την υπηρεσία έκδοσης και νέα απόφαση εμπιστοσύνης. Ένα γενικό αντίγραφο ασφαλείας επαναφέρει ρυθμίσεις, όχι ένα ιδιωτικό κλειδί που δημιουργήθηκε ως μη εξαγώγιμο, οπότε κάθε διαπιστευτήριο πρέπει να ελέγχεται απέναντι στη δική του διαδρομή επανέκδοσης και όχι απέναντι στο αποτέλεσμα της επαναφοράς.

Επιβεβαιώστε τη μέθοδο MFA στην ίδια φάση, γιατί το τηλέφωνο που λαμβάνει το push είναι συχνά το τηλέφωνο που σβήνεται. Αν ο μόνος καταγεγραμμένος παράγοντας ζει εκεί, κανονίστε έναν δεύτερο μέσω της ομάδας ταυτότητας και της επαληθευμένης διαδικασίας πριν από την επαναφορά. Η διάρκεια ζωής του πιστοποιητικού ανήκει επίσης σε εκείνη τη συζήτηση, αφού ένα βραχύβιο πιστοποιητικό μπορεί να λήξει ενώ η συσκευή κάθεται σε συρτάρι, και ο οδηγός προφίλ διαμόρφωσης της Apple καλύπτει τις προτροπές εγκατάστασης και αφαίρεσης που θα συναντήσετε στον δρόμο της επιστροφής. Αν οι οδηγίες ρύθμισης μπορούν να διαβαστούν μόνο πίσω από το VPN, σπάστε αυτή την εξάρτηση πριν από τη διαγραφή και όχι μετά.

Επαληθεύστε την επαναφερμένη σύνδεση σε πραγματικό πόρο

Μετά την επαναφορά, εγκαταστήστε τον υποστηριζόμενο πελάτη ή προφίλ, συνδεθείτε και ανοίξτε έναν εσωτερικό πόρο που απαιτεί τη σήραγγα. Μια ένδειξη συνδεδεμένου αποδεικνύει ότι η σήραγγα υπάρχει, όχι ότι η επίλυση ονομάτων και η δρομολόγηση φτάνουν στην υπηρεσία που χρειάζεται ο χρήστης. Ελέγξτε και την αλυσίδα εμπιστοσύνης: αν το προφίλ παρουσιάζει άγνωστη ρίζα, σταματήστε και επιβεβαιώστε τον εκδότη αντί να πατήσετε αποδοχή για να τελειώσετε γρήγορα. Μια άγνωστη ρίζα που γίνεται αποδεκτή κατά τη διάρκεια βιαστικής επαναφοράς είναι απόφαση εμπιστοσύνης που πάρθηκε κατά λάθος.

Στη συνέχεια δοκιμάστε τα μέρη που αποτυγχάνουν ήσυχα: το ιδιωτικό επίθημα DNS που επιλύεται σε εσωτερική διεύθυνση, την ημερομηνία του πιστοποιητικού και μία εφαρμογή που εξαρτάται από τη σήραγγα. Ζητήστε από τον χρήστη να επαναλάβει τη σύνδεση χωρίς καθοδήγηση, γιατί η προσπάθειά του είναι η δοκιμή παράδοσης.

Αποσύρετε την παλιά ταυτότητα συσκευής όταν το τηλέφωνο αντικατασταθεί ή όταν η επαναφορά ακολούθησε απώλεια. Η επαναφορά προφίλ δεν ανακαλεί ένα αντίγραφο που μπορεί να υπάρχει αλλού.

Η λίστα ελέγχου πριν από την επαναφορά, σε ένα σημείο

Ιδιοκτήτης, πελάτης, τελικό σημείο, πρωτόκολλο και μέθοδος παράδοσης· το επίθημα DNS και οι εξαρτημένες εφαρμογές· η διαδρομή ανάκτησης MFA και ποιος την εγκρίνει· η διαδρομή επανέκδοσης πιστοποιητικού και η διάρκεια ζωής του· και η μέθοδος εγγραφής για διαχειριζόμενη συσκευή. Αν οποιαδήποτε γραμμή είναι κενή, η επαναφορά είναι κορόνα ή γράμματα. Η λίστα παίρνει δέκα λεπτά και αποφασίζει αν πρόκειται για επαναφορά ή για διακοπή.

Φυλάξτε την εκεί όπου το άτομο που κάνει την επαναφορά μπορεί να τη διαβάσει χωρίς το τηλέφωνο, και δώστε της αναθεώρηση λήξης, γιατί τα τελικά σημεία και οι ιδιοκτήτες αλλάζουν. Ένα σημείωμα ανάκτησης που αναφέρει μια παροπλισμένη πύλη είναι χειρότερο από κανένα σημείωμα, γιατί προσκαλεί μια σίγουρη λάθος ενέργεια.