מה איפוס iPhone מוחק מהגדרת ה-VPN שלך

מחקו את הטלפון ופרופיל ה-VPN פשוט עשוי לא לחזור. גיבוי iPhone נושא הרבה, אבל הוא אינו הבטחה שמפתח פרטי, פרופיל מנוהל או מצב רישום יחזרו איתו. הפער מופיע בדרך כלל שעות לאחר מכן, כשהמשתמש בנסיעה והטלפון שנמחק היה נתיב הכניסה היחיד שעבד. חמש עובדות שנכתבות מראש מונעות את אחר הצהריים הזה.

מה גיבוי נושא ומה מעולם לא היה בו

גיבוי מקומי או ב-iCloud משחזר נתוני משתמש והגדרות אפליקציות רבות, והוא יכול לשחזר פרטי התחברות שאפליקציה בוחרת לכלול. הוא אינו יכול ליצור מחדש מפתח פרטי שנוצר בתוך ה-secure enclave וסומן כבלתי ניתן לייצוא, והוא אינו רושם את המכשיר מחדש בניהול. פרופיל תצורה שהגיע משרת MDM נמסר בדרך כלל שוב על ידי אותו שרת, לא על ידי הגיבוי. שלושת המקרים נראים אותו דבר במסך ההגדרות ומתנהגים אחרת לאחר מחיקה.

ההבחנה חשובה כי היא קובעת מי יכול לתקן את הבעיה. נתוני המשתמש שייכים לאדם, הפרופיל ועוגני האמון שלו שייכים למי שהנפיק אותם, והמפתח הפרטי שייך לשירות שחייב להנפיק אותו מחדש. אם אינכם יכולים למנות את שלושת הבעלים האלה לפני האיפוס, תוכנית השחזור אינה שלמה.

שאלה אחת בוחנת את התוכנית: מי מנפיק מחליף כשהמפתח נעלם? אם התשובה היא אף אחד, אל תמחקו את הטלפון עדיין.

רשמו ממה עמית יוכל לשחזר

רשמו את חמש העובדות שמאפשרות למישהו אחר לשחזר את החיבור: בעל השירות, הלקוח והגרסה הנתמכים, שם נקודת הקצה, הפרוטוקול והפורט, וכיצד נמסר הפרופיל. הוסיפו את סיומת ה-DNS הפרטית ואת האפליקציות הפנימיות שנשברות בלי המנהרה, כי אותן המשתמש מדווח כ-VPN שבור גם כשהמנהרה פועלת. שמרו את התיעוד בטיקט או בוויקי של הצוות, לעולם לא בצילום מסך של סמל סטטוס ירוק.

שחזור אימות הוא תיעוד נפרד, והוא שייך למנהל הסיסמאות או לתהליך הזהות של הארגון. איסוף מפתחות וסיסמאות לפתק לא מוגן מפני שאיפוס מגיע הוא הדרך שבה אירוע ניתן לשחזור הופך לתקרית. התיעוד צריך לומר היכן חי חומר השחזור, לא לשחזר אותו.

מנו גם את האדם שיכול לאשר הנפקה מחדש של תעודה. מסלול אישור שלוקח יומיים הוא עדיין טוב יותר מלגלות אותו באותו יום.

פרופילים מנוהלים ואישיים חוזרים אחרת

מכשיר מנוהל מקבל את הגדרותיו שוב כשהוא נרשם מחדש, ולכן הרישום בא לפני שחזור נתוני המשתמש. פרופיל אישי קרוב יותר לקובץ שהורד: לאחר המחיקה המשתמש זקוק להורדה חדשה מהשירות המנפיק ולהחלטת אמון חדשה. גיבוי כללי משחזר הגדרות, לא מפתח פרטי שנוצר כבלתי ניתן לייצוא, לכן כל פרט התחברות צריך להיבדק מול מסלול ההנפקה מחדש שלו ולא מול תוצאת השחזור.

אשרו את שיטת ה-MFA באותה סבב, כי הטלפון שמקבל את ה-push הוא לעתים קרובות הטלפון שנמחק. אם הגורם הרשום היחיד חי שם, ארגנו גורם שני דרך צוות הזהות והתהליך המאומת לפני האיפוס. תוקף התעודה שייך גם הוא לשיחה ההיא, שכן תעודה קצרת מועד עלולה לפוג בזמן שהמכשיר מונח במגירה, וכן מדריך פרופילי התצורה של Apple מכסה את הנחיות ההתקנה וההסרה שתפגשו בדרך חזרה. אם הוראות ההגדרה ניתנות לקריאה רק מאחורי ה-VPN, שברו את התלות הזאת לפני המחיקה ולא אחריה.

אמתו את החיבור המשוחזר מול משאב אמיתי

לאחר השחזור, התקינו את הלקוח או הפרופיל הנתמכים, התחברו ופתחו משאב פנימי שדורש את המנהרה. מחוון מחובר מוכיח שהמנהרה קיימת, לא שפתרון השמות והניתוב מגיעים לשירות שהמשתמש צריך. בדקו גם את שרשרת האמון: אם הפרופיל מציג שורש לא מוכר, עצרו ואשרו את המנפיק במקום להקיש אישור כדי לסיים מהר. שורש לא מוכר שהתקבל במהלך שחזור נחפז הוא החלטת אמון שהתקבלה בטעות.

לאחר מכן בדקו את החלקים שנכשלים בשקט: סיומת ה-DNS הפרטית שנפתרת לכתובת פנימית, תאריך התעודה, ואפליקציה אחת שתלויה במנהרה. בקשו מהמשתמש לחזור על הכניסה בלי הדרכה, כי הניסיון שלו הוא מבחן המסירה.

הוציאו את זהות המכשיר הישנה מכלל שימוש כשהטלפון מוחלף או כשהאיפוס בא בעקבות אובדן. שחזור פרופיל אינו מבטל עותק שעשוי עדיין להתקיים במקום אחר.

רשימת הבדיקה שלפני האיפוס, במקום אחד

בעלים, לקוח, נקודת קצה, פרוטוקול ושיטת מסירה; סיומת ה-DNS והאפליקציות התלויות; מסלול שחזור ה-MFA ומי מאשר אותו; מסלול ההנפקה מחדש של התעודה ותוקפה; ושיטת הרישום עבור מכשיר מנוהל. אם שורה כלשהי ריקה, האיפוס הוא הטלת מטבע. הרשימה אורכת עשר דקות ומכריעה אם זה שחזור או השבתה.

אחסנו אותה במקום שבו האדם שמבצע את השחזור יכול לקרוא אותה בלי הטלפון, ותנו לה סקירת תפוגה, כי נקודות קצה ובעלים משתנים. פתק שחזור שמצטט שער שהוצא משימוש גרוע מהיעדר פתק, כי הוא מזמין פעולה שגויה בביטחון.