iPhoneのVPNプロファイルが期限切れ？三つの異なる期限

VPNプロファイルが期限切れという表現は、少なくとも三つの無関係な出来事を指しており、対処法はそれぞれ異なります。管理サービスが独自のライフサイクルポリシーに従って構成を撤回することがあり、証明書が有効期限の終わりに達することがあり、アカウントが上流で認可を失うことがあります。同じファイルを再インストールしても、正しい瞬間にインストールしない限り、どれも直りません。端末に触れる前に、どの対象が変わったのかを突き止めてください。

削除は期限切れとは違う

管理構成は所有者を持つ対象であり、所有者はそれを撤回できます。管理プロファイルが削除されると、それが配信したVPN設定も通常は一緒に消え、認証情報を何度入れ直しても項目は戻りません。無効化された接続は別の状態です。プロファイルは存在し、スイッチはオフで、端末は鍵をまだ保持しているかもしれません。設定画面を読めば、どちらの状態かがわかります。

オンデマンドのルールは話を複雑にします。ユーザーの操作なしに保存済みの構成を再び立ち上げることがあるからです。自ら再接続する接続は、プロファイルが存在することを証明しますが、それが最新かどうかは何も語りません。構成が撤回されたのか、置き換えられたのか、削除予定なのかを管理者に確認してください。端末のプロファイル一覧は、意図ではなく実際にインストールされているものを示すからです。

証明書の有効性は独自の時計で進む

クライアント証明書には「この日より前ではない」「この日より後ではない」という日付があり、ゲートウェイはその期間外では拒否します。端末の時刻も検査の一部なので、時計がずれた電話は、他のどこでもまだ有効な証明書で失敗することがあります。エラーの文言は、二つの条件のどちらが失敗したかをめったに示しません。だからこそ端末の時計は最初の診断手順に含まれます。間違ったパスワードは期限切れの証明書とは別の失敗を生み、到達できないエンドポイントは三つ目の失敗を生みます。

既存のセッションは新しい認証とは異なる振る舞いをします。実装によっては再ネゴシエーションまでトンネルを生かし続けるため、証明書の期限切れ後もクライアントはしばらく正常に見えることがあります。その遅れは認証情報が良い証拠ではなく、動作中のセッションはログイン試験の成功ではありません。

権利は別の場所に住んでいる

三つ目の期限切れは端末とは無関係です。VPNの背後にあるアカウントが認可を失っている可能性があります。ディレクトリのグループ変更、ライセンスの終了日、退職手続きがアクセスを取り消しても、プロファイルと証明書は完全に有効なままです。すると電話は壊れたクライアントとまったく同じように振る舞うため、この原因は通常最後に発見されます。サービスのログは拒否を記録し理由を示しますが、読めるのはアカウントの所有者だけです。

これを誤った認証情報と区別してください。取り消された権利は正しいパスワードを拒否し、誤ったパスワードは正しい権利を拒否します。両者を直すには別の担当者が必要です。グループ所属を外された利用者のパスワードをリセットするヘルプデスクのスクリプトは、全員の午後を無駄にします。

登録した組織を通じて復旧する

古いファイルのコピーではなく、組織の登録または交換の手続きを使ってください。再インストールされたプロファイルは、そのために発行されたアイデンティティを運びます。古いエクスポートは、すでに取り消されたアイデンティティを運ぶことがあります。出口サーバーを変えても社内アクセスの役には立たず、証明書検証を弱めても何も更新されません。どちらもライフサイクルの問題をセキュリティの例外に変えるだけです。

修正後は新しい接続を開き、バッジで止まらずに目的のアプリを使ってください。今どのプロファイルとどのアイデンティティがインストールされているかを確認してください。端末は古いプロファイルと新しいプロファイルを同時に保持できるからです。三つの可能性をチケットに別々に記録してください。所有者も対処も三つに分かれているからです。