Wat een iPhone-reset uit je VPN-configuratie wist

Wis de telefoon en het VPN-profiel komt misschien gewoon niet terug. Een iPhone-back-up draagt veel, maar het is geen belofte dat een persoonlijke sleutel, een beheerd profiel of een inschrijvingsstatus ermee terugkomt. De leemte blijkt meestal uren later, wanneer de gebruiker onderweg is en de gewiste telefoon het enige werkende inlogpad was. Vijf feiten die vooraf zijn opgeschreven voorkomen die middag.

Wat een back-up draagt en wat er nooit in zat

Een lokale of iCloud-back-up herstelt gebruikersgegevens en veel app-instellingen, en kan inloggegevens herstellen die een app ervoor kiest op te nemen. Hij kan geen persoonlijke sleutel opnieuw maken die in de secure enclave is gegenereerd en als niet-exporteerbaar gemarkeerd, en hij schrijft het apparaat niet opnieuw in bij het beheer. Een configuratieprofiel dat van een MDM-server kwam, wordt meestal opnieuw geleverd door die server, niet door de back-up. Alle drie de gevallen zien er op het scherm Instellingen hetzelfde uit en gedragen zich na een wissing anders.

Het onderscheid is belangrijk omdat het bepaalt wie het probleem kan oplossen. Gebruikersgegevens zijn van de persoon, het profiel en zijn vertrouwensankers zijn van degene die ze heeft uitgegeven, en de persoonlijke sleutel is van de dienst die hem opnieuw moet uitgeven. Als je die drie eigenaren voor de reset niet kunt benoemen, is het herstelplan onvolledig.

Eén vraag test het plan: wie geeft een vervanger uit als de sleutel weg is? Als het antwoord niemand is, wis de telefoon dan nog niet.

Noteer waaruit een collega zou kunnen herbouwen

Noteer de vijf feiten waarmee iemand anders de verbinding kan herbouwen: eigenaar van de dienst, ondersteunde client en versie, naam van het eindpunt, protocol en poort, en hoe het profiel wordt geleverd. Voeg het privé-DNS-suffix en de interne applicaties toe die zonder de tunnel stukgaan, want dat zijn de dingen die de gebruiker als kapotte VPN meldt, zelfs wanneer de tunnel actief is. Bewaar de notitie in het ticket of de wiki van het team, nooit in een schermafbeelding van een groen statuspictogram.

Herstel van authenticatie is een aparte notitie, en die hoort in de wachtwoordmanager of het identiteitsproces van de organisatie. Sleutels en wachtwoorden verzamelen in een onbeschermde notitie omdat er een reset aankomt, is hoe een herstelbare gebeurtenis een incident wordt. De notitie moet zeggen waar het herstelmateriaal leeft, niet het reproduceren.

Noem ook de persoon die een heruitgifte van het certificaat kan goedkeuren. Een goedkeuringspad dat twee dagen duurt is nog steeds beter dan het op dezelfde dag ontdekken.

Beheerde en persoonlijke profielen komen anders terug

Een beheerd apparaat krijgt zijn instellingen opnieuw wanneer het zich opnieuw inschrijft, daarom komt de inschrijving vóór het herstel van gebruikersgegevens. Een persoonlijk profiel lijkt meer op een gedownload bestand: na de wissing heeft de gebruiker een nieuwe download van de uitgevende dienst nodig en een nieuwe vertrouwensbeslissing. Een algemene back-up herstelt instellingen, niet een persoonlijke sleutel die als niet-exporteerbaar is aangemaakt, dus elk inloggegeven moet tegen zijn eigen heruitgiftepad worden gecontroleerd en niet tegen het herstelresultaat.

Bevestig de MFA-methode in dezelfde ronde, want de telefoon die de push ontvangt is vaak de telefoon die wordt gewist. Als de enige ingeschreven factor daar woont, regel dan voor de reset een tweede via het identiteitsteam en het geverifieerde proces. De levensduur van het certificaat hoort ook bij dat gesprek, omdat een kortlevend certificaat kan verlopen terwijl het apparaat in een la ligt, en Apples handleiding voor configuratieprofielen dekt de installatie- en verwijderingsvragen die je op de terugweg tegenkomt. Als de installatie-instructies alleen achter de VPN leesbaar zijn, breek die afhankelijkheid dan vóór de wissing en niet erna.

Controleer de herstelde verbinding tegen een echte bron

Installeer na het herstel de ondersteunde client of het profiel, log in en open een interne bron die de tunnel vereist. Een verbonden-indicator bewijst dat de tunnel bestaat, niet dat naamresolutie en routering de dienst bereiken die de gebruiker nodig heeft. Controleer ook de vertrouwensketen: als het profiel een onbekende wortel presenteert, stop dan en bevestig de uitgever in plaats van op accepteren te tikken om snel klaar te zijn. Een onbekende wortel die tijdens een haastig herstel wordt geaccepteerd, is een vertrouwensbeslissing die per ongeluk is genomen.

Test daarna de delen die stil falen: het privé-DNS-suffix dat naar een intern adres oplost, de datum van het certificaat en één applicatie die van de tunnel afhankelijk is. Vraag de gebruiker de login zonder begeleiding te herhalen, want zijn poging is de overdrachtstest.

Trek de oude apparaatidentiteit in wanneer de telefoon wordt vervangen of wanneer de reset op een verlies volgde. Het herstellen van een profiel trekt geen kopie in die misschien nog elders bestaat.

De checklist vóór de reset, op één plek

Eigenaar, client, eindpunt, protocol en leveringsmethode; het DNS-suffix en afhankelijke applicaties; het MFA-herstelpad en wie het goedkeurt; het heruitgiftepad van het certificaat en de levensduur; en de inschrijvingsmethode voor een beheerd apparaat. Als een regel leeg is, is de reset een muntworp. De lijst kost tien minuten en bepaalt of dit een herstel of een storing is.

Bewaar hem waar de persoon die het herstel uitvoert hem zonder de telefoon kan lezen, en geef hem een vervalbeoordeling, want eindpunten en eigenaars veranderen. Een herstelnotitie die een buiten gebruik gestelde gateway citeert, is erger dan geen notitie, want ze nodigt uit tot een zelfverzekerde verkeerde handeling.