Profil VPN de l'iPhone expiré ? Trois expirations différentes

L'expression le profil VPN a expiré décrit au moins trois événements sans rapport, et la solution diffère pour chacun. Un service de gestion peut retirer une configuration selon sa propre politique de cycle de vie, un certificat peut atteindre la fin de sa validité et un compte peut perdre son autorisation en amont. Réinstaller le même fichier ne répare aucun de ces cas, sauf si vous l'installez au bon moment. Déterminez quel objet a changé avant de toucher l'appareil.

Retirer n'est pas la même chose qu'expirer

Une configuration gérée est un objet avec un propriétaire, et le propriétaire peut la retirer. Lorsque le profil de gestion est supprimé, les réglages VPN qu'il a fournis partent généralement avec lui, et aucune réintroduction d'identifiants ne fait revenir l'entrée. Une connexion désactivée est un autre état : le profil est présent, l'interrupteur est éteint et l'appareil peut encore conserver les clés. Lire l'écran des réglages vous dit lequel des deux vous avez.

Une règle à la demande complique le tableau, car elle peut relancer une configuration enregistrée sans aucune action de l'utilisateur. Une connexion qui se reconnecte d'elle-même prouve que le profil est présent et ne dit rien sur son actualité. Demandez à l'administrateur si la configuration a été retirée, remplacée ou programmée pour suppression, car la liste des profils de l'appareil montre ce qui est installé, pas ce qui était prévu.

La validité du certificat suit sa propre horloge

Un certificat client porte une date non avant et une date non après, et la passerelle le rejette en dehors de cette fenêtre. L'heure de l'appareil fait partie du contrôle, donc un téléphone dont l'horloge a dérivé peut échouer sur un certificat encore valide partout ailleurs. Le texte de l'erreur dit rarement laquelle des deux conditions a échoué, c'est pourquoi l'horloge de l'appareil appartient à la première étape de diagnostic. Un mot de passe incorrect produit un échec différent d'un certificat expiré, et un point de terminaison injoignable en produit un troisième.

Les sessions existantes se comportent différemment des nouvelles authentifications. Certaines implémentations maintiennent un tunnel actif jusqu'à sa renégociation, si bien qu'un client peut sembler sain pendant un temps après l'expiration du certificat. Ce délai n'est pas la preuve que l'identifiant est bon, et une session qui fonctionne n'est pas un test de connexion réussi.

Le droit vit ailleurs

La troisième expiration n'a rien à voir avec l'appareil : le compte derrière le VPN peut avoir perdu son autorisation. Un changement de groupe d'annuaire, une date de fin de licence ou une étape de départ peuvent révoquer l'accès tandis que le profil et le certificat restent parfaitement valides. Le téléphone se comporte alors exactement comme un client en panne, ce qui explique pourquoi cette cause est généralement découverte en dernier. Les journaux du service lui-même consignent le refus et nomment la raison, et seul le propriétaire du compte peut les lire.

Distinguez cela d'un identifiant incorrect. Un droit révoqué rejette un mot de passe correct, tandis qu'un mot de passe incorrect rejette un droit correct, et les deux nécessitent des personnes différentes pour les corriger. Un script du service d'assistance qui réinitialise le mot de passe d'un utilisateur dont l'appartenance à un groupe a été retirée fait perdre l'après-midi à tout le monde.

Restaurez via l'organisation qui inscrit

Utilisez le processus d'inscription ou de remplacement de l'organisation plutôt qu'une copie de l'ancien fichier. Un profil réinstallé porte l'identité émise pour lui, et un ancien export peut porter une identité déjà révoquée. Changer le serveur de sortie ne fait rien pour l'accès au travail privé, et affaiblir la validation du certificat ne renouvelle rien. Les deux transforment un problème de cycle de vie en exception de sécurité.

Après la correction, ouvrez une nouvelle connexion et utilisez l'application prévue au lieu de vous arrêter au badge. Confirmez quel profil et quelle identité sont installés maintenant, car un appareil peut détenir un ancien et un nouveau profil en même temps. Consignez les trois possibilités séparément dans le ticket, car elles ont trois propriétaires et trois remèdes différents.