VPN-profiel van iPhone verlopen? Drie verschillende verlopen

De uitdrukking het VPN-profiel is verlopen beschrijft minstens drie losstaande gebeurtenissen, en de oplossing verschilt per geval. Een beheerdienst kan een configuratie intrekken volgens zijn eigen levenscyclusbeleid, een certificaat kan het einde van zijn geldigheid bereiken, en een account kan hogerop de autorisatie verliezen. Hetzelfde bestand opnieuw installeren herstelt geen van deze, tenzij u het op het juiste moment installeert. Stel vast welk object is veranderd voordat u het apparaat aanraakt.

Verwijderen is niet hetzelfde als verlopen

Een beheerde configuratie is een object met een eigenaar, en de eigenaar kan het intrekken. Wanneer het beheerprofiel wordt verwijderd, verdwijnen de VPN-instellingen die het leverde meestal mee, en geen enkele herinvoer van inloggegevens brengt de vermelding terug. Een uitgeschakelde verbinding is een andere toestand: het profiel is aanwezig, de schakelaar staat uit en het apparaat kan de sleutels nog bevatten. Het instellingenscherm lezen vertelt u welke van de twee u hebt.

Een on-demand-regel maakt het beeld ingewikkelder, omdat die een opgeslagen configuratie zonder enige gebruikersactie weer kan opstarten. Een verbinding die vanzelf opnieuw verbindt, bewijst dat het profiel aanwezig is en zegt niets over of het actueel is. Vraag de beheerder of de configuratie is ingetrokken, vervangen of gepland voor verwijdering, want de profielenlijst van het apparaat toont wat er is geïnstalleerd, niet wat de bedoeling was.

De geldigheid van het certificaat loopt op zijn eigen klok

Een clientcertificaat draagt een niet-voor- en een niet-na-datum, en de gateway weigert het buiten dat venster. De apparaattijd maakt deel uit van de controle, dus een telefoon waarvan de klok is afgedreven kan falen op een certificaat dat elders nog geldig is. De fouttekst zegt zelden welke van de twee voorwaarden faalde, daarom hoort de klok van het apparaat bij de eerste diagnostische stap. Een verkeerd wachtwoord geeft een andere fout dan een verlopen certificaat, en een onbereikbaar eindpunt geeft een derde.

Bestaande sessies gedragen zich anders dan nieuwe authenticaties. Sommige implementaties houden een tunnel in leven totdat opnieuw wordt onderhandeld, zodat een client er na het verlopen van het certificaat nog even gezond kan uitzien. Die vertraging is geen bewijs dat de inloggegevens goed zijn, en een werkende sessie is geen geslaagde aanmeldingstest.

De bevoegdheid woont elders

Het derde verlopen heeft niets met het apparaat te maken: het account achter de VPN kan zijn autorisatie hebben verloren. Een wijziging in een adreslijstgroep, een licentiedatum of een uitstapstap kan de toegang intrekken terwijl het profiel en het certificaat volkomen geldig blijven. De telefoon gedraagt zich dan precies als een kapotte client, waardoor deze oorzaak meestal het laatst wordt ontdekt. De eigen logboeken van de dienst registreren de weigering en noemen de reden, en alleen de accounteigenaar kan ze lezen.

Onderscheid dit van verkeerde inloggegevens. Een ingetrokken bevoegdheid weigert een juist wachtwoord, terwijl een verkeerd wachtwoord een juiste bevoegdheid weigert, en de twee vereisen verschillende mensen om ze te verhelpen. Een helpdeskscript dat het wachtwoord reset voor een gebruiker wiens groepslidmaatschap is verwijderd, verspilt ieders middag.

Herstel via de organisatie die de inschrijving doet

Gebruik het inschrijf- of vervangingsproces van de organisatie in plaats van een kopie van het oude bestand. Een opnieuw geïnstalleerd profiel draagt de identiteit die ervoor is uitgegeven, en een oude export kan een al ingetrokken identiteit dragen. Het wisselen van de uitgangsserver doet niets voor toegang tot privéwerk, en het verzwakken van certificaatvalidatie vernieuwt niets. Beide veranderen een levenscyclusprobleem in een beveiligingsuitzondering.

Open na de correctie een nieuwe verbinding en gebruik de bedoelde toepassing in plaats van bij de badge te stoppen. Bevestig welk profiel en welke identiteit nu zijn geïnstalleerd, want een apparaat kan tegelijk een oud en een nieuw profiel bevatten. Noteer de drie mogelijkheden apart in het ticket, want ze hebben drie verschillende eigenaren en drie verschillende oplossingen.