Mitä iPhonen nollaus poistaa VPN-asetuksistasi

Pyyhi puhelin, ja VPN-profiili ei ehkä yksinkertaisesti palaa. iPhonen varmuuskopio kantaa paljon, mutta se ei ole lupaus siitä, että yksityinen avain, hallittu profiili tai rekisteröintitila palaa sen mukana. Aukko näkyy yleensä tunteja myöhemmin, kun käyttäjä on matkoilla ja pyyhitty puhelin oli ainoa toimiva kirjautumistie. Viisi etukäteen kirjattua tosiasiaa estää sen iltapäivän.

Mitä varmuuskopio kantaa ja mitä siinä ei koskaan ollut

Paikallinen tai iCloud-varmuuskopio palauttaa käyttäjätiedot ja monet sovellusasetukset, ja se voi palauttaa tunnistetietoja, jotka sovellus päättää sisällyttää. Se ei voi luoda uudelleen yksityistä avainta, joka luotiin secure enclaven sisällä ja merkittiin ei-vietäväksi, eikä se rekisteröi laitetta uudelleen hallintaan. MDM-palvelimelta saapunut kokoonpanoprofiili toimitetaan yleensä uudelleen siltä palvelimelta, ei varmuuskopiosta. Kaikki kolme tapausta näyttävät Asetukset-näytöllä samalta ja käyttäytyvät pyyhinnän jälkeen eri tavoin.

Ero on tärkeä, koska se ratkaisee, kuka voi korjata ongelman. Käyttäjätiedot kuuluvat henkilölle, profiili ja sen luottamusankkurit sille, joka ne myönsi, ja yksityinen avain palvelulle, jonka on myönnettävä se uudelleen. Jos et voi nimetä näitä kolmea omistajaa ennen nollausta, palautussuunnitelma on puutteellinen.

Yksi kysymys testaa suunnitelman: kuka myöntää korvaavan, kun avain on poissa? Jos vastaus on ei kukaan, älä vielä pyyhi puhelinta.

Kirjaa, mistä kollega voisi rakentaa uudelleen

Kirjaa viisi tosiasiaa, joiden avulla joku muu voi rakentaa yhteyden uudelleen: palvelun omistaja, tuettu asiakasohjelma ja versio, päätepisteen nimi, protokolla ja portti sekä miten profiili toimitetaan. Lisää yksityinen DNS-liite ja sisäiset sovellukset, jotka hajoavat ilman tunnelia, koska juuri ne käyttäjä ilmoittaa rikkinäisenä VPN:nä myös silloin, kun tunneli on pystyssä. Pidä kirjausta tiketissä tai tiimin wikissä, ei koskaan vihreän tilakuvakkeen kuvakaappauksessa.

Todennuksen palautus on erillinen kirjaus, ja se kuuluu salasananhallintaan tai organisaation identiteettiprosessiin. Avainten ja salasanojen kerääminen suojaamattomaan muistioon siksi, että nollaus on tulossa, on tapa, jolla palautettavissa oleva tapahtuma muuttuu incidentiksi. Kirjauksen pitäisi kertoa, missä palautusmateriaali asuu, ei toistaa sitä.

Nimeä myös henkilö, joka voi hyväksyä varmenteen uudelleenmyönnön. Kahden päivän hyväksyntäpolku on silti parempi kuin sen löytäminen samana päivänä.

Hallitut ja henkilökohtaiset profiilit palaavat eri tavoin

Hallittu laite saa asetuksensa takaisin, kun se rekisteröidään uudelleen, siksi rekisteröinti tulee ennen käyttäjätietojen palautusta. Henkilökohtainen profiili on lähempänä ladattua tiedostoa: pyyhinnän jälkeen käyttäjä tarvitsee uuden latauksen myöntävältä palvelulta ja uuden luottamuspäätöksen. Yleinen varmuuskopio palauttaa asetuksia, ei ei-vietäväksi luotua yksityistä avainta, joten jokainen tunnistetieto on tarkistettava omaa uudelleenmyöntöpolkuaan vasten eikä palautuksen tulosta vasten.

Vahvista MFA-menetelmä samassa kierroksessa, koska push-viestin vastaanottava puhelin on usein juuri pyyhittävä puhelin. Jos ainoa rekisteröity tekijä asuu siellä, järjestä toinen identiteettitiimin ja vahvistetun prosessin kautta ennen nollausta. Varmenteen elinikä kuuluu myös siihen keskusteluun, sillä lyhytikäinen varmenne voi vanhentua laitteen maatessa laatikossa, ja Applen kokoonpanoprofiilien opas kattaa asennus- ja poistokehotteet, jotka kohtaat paluumatkalla. Jos asennusohjeet voi lukea vain VPN:n takaa, katkaise se riippuvuus ennen pyyhintää, älä sen jälkeen.

Vahvista palautettu yhteys todellista resurssia vasten

Asenna palautuksen jälkeen tuettu asiakasohjelma tai profiili, kirjaudu sisään ja avaa sisäinen resurssi, joka vaatii tunnelin. Yhdistetty-ilmaisin todistaa, että tunneli on olemassa, ei sitä, että nimien selvitys ja reititys saavuttavat palvelun, jota käyttäjä tarvitsee. Tarkista myös luottamisketju: jos profiili esittää tuntemattoman juuren, pysähdy ja vahvista myöntäjä sen sijaan, että napauttaisit hyväksy saadaksesi nopeasti valmiiksi. Kiireisessä palautuksessa hyväksytty tuntematon juuri on vahingossa tehty luottamuspäätös.

Testaa sitten osat, jotka epäonnistuvat hiljaa: sisäiseksi osoitteeksi selviävä yksityinen DNS-liite, varmenteen päivämäärä ja yksi tunnelista riippuva sovellus. Pyydä käyttäjää toistamaan kirjautuminen ilman ohjausta, koska hänen yrityksensä on luovutustesti.

Poista vanha laitetunniste käytöstä, kun puhelin vaihdetaan tai kun nollaus seurasi katoamista. Profiilin palauttaminen ei peruuta kopiota, joka voi yhä olla olemassa muualla.

Nollausta edeltävä tarkistuslista yhdessä paikassa

Omistaja, asiakasohjelma, päätepiste, protokolla ja toimitustapa; DNS-liite ja riippuvat sovellukset; MFA-palautuspolku ja kuka sen hyväksyy; varmenteen uudelleenmyöntöpolku ja sen elinikä; sekä hallitun laitteen rekisteröintitapa. Jos jokin rivi on tyhjä, nollaus on kolikonheitto. Lista kestää kymmenen minuuttia ja ratkaisee, onko tämä palautus vai katkos.

Säilytä sitä siellä, missä palautuksen tekevä henkilö voi lukea sen ilman puhelinta, ja anna sille vanhenemisen tarkistus, koska päätepisteet ja omistajat muuttuvat. Palautusmuistio, joka siteeraa käytöstä poistettua yhdyskäytävää, on huonompi kuin ei muistiota lainkaan, koska se kutsuu itsevarmaan väärään toimintaan.