¿Perfil VPN de iPhone caducado? Tres caducidades distintas

La frase el perfil VPN ha caducado describe al menos tres sucesos no relacionados, y la solución difiere para cada uno. Un servicio de gestión puede retirar una configuración según su propia política de ciclo de vida, un certificado puede llegar al final de su validez y una cuenta puede perder la autorización más arriba. Reinstalar el mismo archivo no repara ninguno de esos casos, salvo que lo instale en el momento adecuado. Determine qué objeto cambió antes de tocar el dispositivo.

Retirar no es lo mismo que caducar

Una configuración gestionada es un objeto con un propietario, y el propietario puede retirarla. Cuando se retira el perfil de gestión, los ajustes VPN que entregó suelen irse con él, y por mucho que vuelva a introducir credenciales, la entrada no regresa. Una conexión desactivada es un estado distinto: el perfil está presente, el interruptor está apagado y el dispositivo puede conservar aún las claves. Leer la pantalla de ajustes le dice cuál de los dos tiene.

Una regla bajo demanda complica el panorama, porque puede levantar de nuevo una configuración guardada sin ninguna acción del usuario. Una conexión que se reconecta sola demuestra que el perfil está presente y no dice nada sobre si está al día. Pregunte al administrador si la configuración se retiró, se sustituyó o se programó para su eliminación, ya que la lista de perfiles del dispositivo muestra lo que está instalado, no lo que se pretendía.

La validez del certificado corre por su propio reloj

Un certificado de cliente lleva una fecha no anterior y una fecha no posterior, y la pasarela lo rechaza fuera de esa ventana. La hora del dispositivo forma parte de la comprobación, así que un teléfono cuyo reloj se ha desviado puede fallar en un certificado que sigue siendo válido en cualquier otro sitio. El texto del error rara vez dice cuál de las dos condiciones falló, por lo que el reloj del dispositivo pertenece al primer paso de diagnóstico. Una contraseña incorrecta produce un fallo distinto al de un certificado caducado, y un extremo inalcanzable produce un tercero.

Las sesiones existentes se comportan de forma distinta a las autenticaciones nuevas. Algunas implementaciones mantienen vivo un túnel hasta que se renegocia, así que un cliente puede parecer sano durante un tiempo después de que el certificado haya caducado. Ese retraso no es prueba de que la credencial sea buena, y una sesión que funciona no es una prueba de inicio de sesión exitosa.

El derecho vive en otro sitio

La tercera caducidad no tiene nada que ver con el dispositivo: la cuenta detrás de la VPN puede haber perdido su autorización. Un cambio de grupo del directorio, una fecha de fin de licencia o un paso de baja pueden revocar el acceso mientras el perfil y el certificado siguen perfectamente válidos. El teléfono se comporta entonces exactamente como un cliente averiado, por lo que esta causa suele descubrirse la última. Los propios registros del servicio anotan la negativa y nombran el motivo, y solo el propietario de la cuenta puede leerlos.

Distinga esto de una credencial incorrecta. Un derecho revocado rechaza una contraseña correcta, mientras que una contraseña incorrecta rechaza un derecho correcto, y los dos necesitan a personas distintas para arreglarlos. Un script de asistencia que restablece la contraseña de un usuario al que se le ha retirado la pertenencia al grupo hace perder la tarde a todos.

Restaure a través de la organización que inscribe

Utilice el proceso de inscripción o de sustitución de la organización en lugar de una copia del archivo antiguo. Un perfil reinstalado lleva la identidad emitida para él, y una exportación antigua puede llevar una identidad ya revocada. Cambiar el servidor de salida no hace nada por el acceso al trabajo privado, y debilitar la validación del certificado no renueva nada. Ambos convierten un problema de ciclo de vida en una excepción de seguridad.

Tras la corrección, abra una conexión nueva y use la aplicación prevista en lugar de detenerse en la insignia. Confirme qué perfil y qué identidad están instalados ahora, porque un dispositivo puede tener un perfil antiguo y uno nuevo al mismo tiempo. Registre las tres posibilidades por separado en el tique, ya que tienen tres propietarios distintos y tres remedios distintos.