מכשיר Apple יוצא מניהול: מה קורה ל-VPN שלו?
הסרת פרופיל ניהול לוקחת איתה את מטען ה-VPN ואת התעודות שלו. השבתת החשבון שמאחורי אותו VPN היא שלב נפרד.
הטלפון שנרשם אתמול עדיין מציג רשומת VPN בהגדרות, והיום הוא מוצא משירות. האם המנהרה תמשיך לעבוד תלוי בשני דברים בלתי תלויים: פרופיל הניהול שמספק את תצורת ה-VPN, וזהות החשבון או התעודה שאליה שרת ה-VPN מאשר. הסרת האחד אינה מסירה את האחר, ולכן פרישות שנראות שלמות משאירות אחריהן אישור גישה תקף. בדוק את שניהם, בסדר הזה, לפני שתכריז שהמכשיר סיים.
שתי הסרות נפרדות, שלעיתים קרובות מתבלבלות
הפרופיל הוא עצם מקומי: הוא נושא את הגדרות ה-VPN, את התעודות או העדפות הזהות שנלוות אליהן, ולעיתים קרובות גם כמה הגבלות. ההרשאה מרוחקת: חשבון משתמש, תעודת מכשיר או רשומת רישום שנשמרת אצל מי שמסיים את המנהרה. האחד נמחק בטלפון, והשני מושבת במסוף שאיש בשולחן אינו רואה.
הסרת הפרופיל מהמכשיר נראית לעין ומיידית, ולכן היא מרגישה כמו כל העבודה. הזהות בצד השרת בלתי נראית מהטלפון ונשארת תקפה עד שמישהו משבית אותה. תהליך פרישה שמוחק רק את העצם המקומי משאיר אישור גישה שאפשר להעתיק, לשחזר מגיבוי או לרשום במכשיר אחר. לכן שתי ההסרות שייכות לבעלים שונים ולרשימות בדיקה שונות.
מה הפרופיל לוקח איתו
מחיקת פרופיל ניהול יכולה להסיר את תצורת ה-VPN יחד עם התעודה שמאמתת אותה, ובכמה סידורים גם את היישומים שהותקנו לצדה. המערך המדויק תלוי באופן שבו נמסר המטען ובשאלה אם המכשיר בפיקוח. קרא את רשימת המטען לפני שתבטיח למישהו שרק המנהרה תיעלם.
מחיקה אינה זהה לביטול רישום, משום שרשומת הרישום יכולה להחיל את הפרופיל מחדש בפעם הבאה שהמכשיר יתחבר. רשומות הבעלות הן שקובעות אם הקצאה מחדש זו תתרחש בכלל, והן מסבירות מדוע מכשיר שנמחק חוזר לעיתים מנוהל. קרא את שיטת הרישום לפני שתחזיק בתוצאה, והשתמש בטבלה כרשימת בדיקה ולא כתיאור של ברירת מחדל של ספק כלשהו.
| Question | How to answer it | If the answer is wrong |
|---|---|---|
| Is the profile gone? | Settings lists no management profile and no managed VPN entry | the device still receives policy at the next check-in |
| Is the identity revoked? | the VPN server rejects that account or certificate | a copied credential still connects |
| Is the enrolment record updated? | the ownership system shows the device as retired | a wipe enrols the device again automatically |
| Is unrelated access intact? | personal or still-authorised services keep working | revocation reached more than the retired device |
החשבון עדיין עובד אחרי שהפרופיל נעלם
בדוק את צד השרת בכוונה, משום שמכשיר בלי פרופיל אינו מוכיח דבר על אישור הגישה. תעודה שהועתקה, סיסמה שנשמרה או רישום שני עדיין יכולים לאמת ממקום אחר.
שמור על ביטול צר. מנפיק משותף או חשבון אחד שמשמש בכמה מכשירים הופכים פרישה לתקלה, והלחץ להחזיר גישה במהירות הוא הדרך שבה חריגים נעשים קבועים.
אשר את המכשיר ואת הזהות בנפרד
עבור על שתי הבדיקות בסדר ורשום את שתי התוצאות: המכשיר אינו מחזיק יותר את הפרופיל, והזהות אינה יכולה יותר להקים מנהרה. אשר גם ששירותים שעדיין מורשים במכשיר אינם נפגעים, משום שפרישה ששוברת גישה לא קשורה מתבטלת בחיפזון.
אם המכשיר מחליף ידיים, השתמש בתהליך הבעלות במקום למסור אישור גישה פעיל, ורשום אם המחזיק החדש חייב להירשם מחדש. נהל רשומה קצרה של מה שהוסר, בלי לשמור מפתחות פרטיים שאיש אינו זקוק להם לאחר מכן.