Profilo VPN dell'iPhone scaduto? Tre scadenze diverse

La frase il profilo VPN è scaduto descrive almeno tre eventi non correlati, e la soluzione è diversa per ciascuno. Un servizio di gestione può ritirare una configurazione secondo la propria politica del ciclo di vita, un certificato può raggiungere la fine della sua validità e un account può perdere l'autorizzazione a monte. Reinstallare lo stesso file non ripara nessuno di questi casi, a meno che lo installiate nel momento giusto. Stabilite quale oggetto è cambiato prima di toccare il dispositivo.

Rimuovere non è lo stesso che scadere

Una configurazione gestita è un oggetto con un proprietario, e il proprietario può ritirarla. Quando il profilo di gestione viene rimosso, le impostazioni VPN che ha fornito di solito se ne vanno con esso, e nessun reinserimento delle credenziali riporta la voce. Una connessione disattivata è uno stato diverso: il profilo è presente, l'interruttore è spento e il dispositivo può ancora conservare le chiavi. Leggere la schermata delle impostazioni vi dice quale dei due avete.

Una regola su richiesta complica il quadro, perché può riattivare una configurazione salvata senza alcuna azione dell'utente. Una connessione che si riconnette da sola dimostra che il profilo è presente e non dice nulla sulla sua attualità. Chiedete all'amministratore se la configurazione è stata ritirata, sostituita o programmata per la rimozione, poiché l'elenco dei profili del dispositivo mostra ciò che è installato, non ciò che era previsto.

La validità del certificato segue il proprio orologio

Un certificato client porta una data non prima e una data non dopo, e il gateway lo rifiuta fuori da quella finestra. L'ora del dispositivo fa parte del controllo, quindi un telefono con l'orologio spostato può fallire su un certificato ancora valido altrove. Il testo dell'errore dice raramente quale delle due condizioni è fallita, ed è per questo che l'orologio del dispositivo appartiene al primo passo diagnostico. Una password errata produce un guasto diverso da un certificato scaduto, e un endpoint irraggiungibile ne produce un terzo.

Le sessioni esistenti si comportano diversamente dalle nuove autenticazioni. Alcune implementazioni mantengono vivo un tunnel finché non viene rinegoziato, così un client può sembrare sano per un po' dopo la scadenza del certificato. Quel ritardo non è prova che la credenziale sia buona, e una sessione funzionante non è un test di accesso riuscito.

Il diritto vive altrove

La terza scadenza non ha nulla a che vedere con il dispositivo: l'account dietro la VPN può aver perso la sua autorizzazione. Un cambio di gruppo della directory, una data di fine licenza o una fase di uscita possono revocare l'accesso mentre il profilo e il certificato restano perfettamente validi. Il telefono si comporta allora esattamente come un client guasto, ed è per questo che questa causa viene di solito scoperta per ultima. I registri del servizio stesso annotano il rifiuto e ne indicano il motivo, e solo il proprietario dell'account può leggerli.

Distinguete questo da una credenziale errata. Un diritto revocato rifiuta una password corretta, mentre una password errata rifiuta un diritto corretto, e i due richiedono persone diverse per essere corretti. Uno script dell'assistenza che reimposta la password di un utente a cui è stata rimossa l'appartenenza al gruppo fa perdere il pomeriggio a tutti.

Ripristinate tramite l'organizzazione che iscrive

Usate il processo di iscrizione o di sostituzione dell'organizzazione invece di una copia del vecchio file. Un profilo reinstallato porta l'identità emessa per esso, e una vecchia esportazione può portare un'identità già revocata. Cambiare il server di uscita non fa nulla per l'accesso al lavoro privato, e indebolire la convalida del certificato non rinnova nulla. Entrambi trasformano un problema del ciclo di vita in un'eccezione di sicurezza.

Dopo la correzione, aprite una nuova connessione e usate l'applicazione prevista invece di fermarvi al badge. Confermate quale profilo e quale identità sono installati ora, perché un dispositivo può tenere un profilo vecchio e uno nuovo contemporaneamente. Registrate le tre possibilità separatamente nel ticket, poiché hanno tre proprietari diversi e tre rimedi diversi.