Een Apple-apparaat verlaat het beheer: wat gebeurt er met zijn VPN?
Het verwijderen van een beheerprofiel neemt de VPN-payload en de bijbehorende certificaten mee. Het account achter die VPN buiten gebruik stellen is een aparte stap.
De gisteren ingeschreven telefoon toont nog een VPN-vermelding in Instellingen, en vandaag wordt hij uit dienst genomen. Of de tunnel blijft werken hangt af van twee onafhankelijke dingen: het beheerprofiel dat de VPN-configuratie levert, en de identiteit van het account of certificaat die de VPN-server autoriseert. Het ene verwijderen verwijdert het andere niet, daarom laten uitdienstnames die compleet lijken werkende inloggegevens achter. Controleer beide, in die volgorde, voordat u het apparaat als afgerond beschouwt.
Twee afzonderlijke verwijderingen, vaak verward
Het profiel is een lokaal object: het draagt de VPN-instellingen, de certificaten of identiteitsvoorkeuren die daarbij horen, en vaak een paar beperkingen. De autorisatie is op afstand: een gebruikersaccount, een apparaatcertificaat of een registratie die wordt bijgehouden door wat de tunnel beëindigt. Het ene wordt op de telefoon verwijderd, het andere wordt uitgeschakeld in een console die niemand aan het bureau ziet.
Het profiel van het apparaat verwijderen is zichtbaar en onmiddellijk, waardoor het als het hele werk voelt. De identiteit aan de serverkant is onzichtbaar vanaf de telefoon en blijft geldig tot iemand die uitschakelt. Een uitdienstname die alleen het lokale object verwijdert, laat inloggegevens achter die gekopieerd, uit een back-up hersteld of op een ander apparaat ingeschreven kunnen worden. De twee verwijderingen horen dus bij verschillende eigenaren en verschillende checklists.
Wat het profiel meeneemt
Het verwijderen van een beheerprofiel kan de VPN-configuratie samen met het certificaat dat die authenticeert weghalen, en in sommige opstellingen ook de apps die ernaast zijn geïnstalleerd. De exacte set hangt af van hoe de payload is geleverd en of het apparaat onder toezicht staat. Lees de payloadlijst voordat u iemand belooft dat alleen de tunnel verdwijnt.
Verwijderen is niet hetzelfde als uitschrijven, omdat de registratie het profiel opnieuw kan toepassen wanneer het apparaat zich de volgende keer meldt. Juist de eigendomsregistraties bepalen of die hertoewijzing plaatsvindt, en ze verklaren waarom een gewist apparaat soms beheerd terugkomt. Lees de inschrijfmethode voordat u de uitkomst voorspelt, en gebruik de tabel als checklist, niet als beschrijving van een standaardwaarde van welke leverancier dan ook.
| Question | How to answer it | If the answer is wrong |
|---|---|---|
| Is the profile gone? | Settings lists no management profile and no managed VPN entry | the device still receives policy at the next check-in |
| Is the identity revoked? | the VPN server rejects that account or certificate | a copied credential still connects |
| Is the enrolment record updated? | the ownership system shows the device as retired | a wipe enrols the device again automatically |
| Is unrelated access intact? | personal or still-authorised services keep working | revocation reached more than the retired device |
Het account werkt nog nadat het profiel weg is
Test de serverkant bewust, want een apparaat zonder profiel bewijst niets over de inloggegevens. Een gekopieerd certificaat, een opgeslagen wachtwoord of een tweede inschrijving kan zich nog steeds elders authenticeren.
Houd de intrekking smal. Een gedeelde uitgever of één account dat op meerdere apparaten wordt gebruikt, maakt van een uitdienstname een storing, en de druk om toegang snel te herstellen is hoe uitzonderingen permanent worden.
Bevestig het apparaat en de identiteit afzonderlijk
Doorloop de twee controles in volgorde en noteer beide resultaten: het apparaat heeft het profiel niet meer, en de identiteit kan geen tunnel meer opzetten. Bevestig ook dat diensten op het apparaat die nog zijn geautoriseerd niet zijn aangetast, want een uitdienstname die ongerelateerde toegang breekt, wordt haastig teruggedraaid.
Wisselt het apparaat van eigenaar, gebruik dan het eigendomsproces in plaats van werkende inloggegevens over te dragen, en noteer of de nieuwe eigenaar zich opnieuw moet inschrijven. Houd een korte registratie bij van wat is verwijderd, zonder privésleutels te bewaren die daarna niemand nodig heeft.