Kva ein iPhone-reset slettar frå VPN-oppsettet ditt

Slett telefonen, og VPN-profilen kjem kanskje rett og slett ikkje tilbake. Ein iPhone-tryggleikskopi ber mykje, men han er ikkje eit løfte om at ein privat nøkkel, ein administrert profil eller ein registreringsstatus kjem tilbake med han. Hola viser seg vanlegvis timar seinare, når brukaren er på reise og den sletta telefonen var den einaste fungerande innloggingsvegen. Fem fakta skrivne ned på førehand hindrar den ettermiddagen.

Kva ein tryggleikskopi ber, og kva han aldri har hatt

Ein lokal eller iCloud-tryggleikskopi gjenopprettar brukardata og mange appinnstillingar, og han kan gjenoppretta legitimasjon som ein app vel å ta med. Han kan ikkje skapa på nytt ein privat nøkkel som vart generert inne i secure enclave og merkt som ikkje-eksporterbar, og han registrerer ikkje eininga på nytt i administrasjonen. Ein konfigurasjonsprofil som kom frå ein MDM-tenar, vert vanlegvis levert på nytt av den tenaren, ikkje av tryggleikskopien. Alle tre tilfella ser like ut på skjermen Innstillingar og oppfører seg ulikt etter ei sletting.

Skilnaden er viktig fordi han avgjer kven som kan løysa problemet. Brukardata høyrer til personen, profilen og tillitsankra hans høyrer til den som gav dei ut, og den private nøkkelen høyrer til tenesta som må gje han ut på nytt. Viss du ikkje kan namngje desse tre eigarane før tilbakestillinga, er gjenopprettingsplanen ufullstendig.

Eitt spørsmål testar planen: kven gjev ut ein erstattar når nøkkelen er borte? Viss svaret er ingen, ikkje slett telefonen enno.

Skriv ned kva ein kollega kan byggja opp att frå

Skriv ned dei fem fakta som gjer det mogleg for nokon andre å byggja opp sambandet att: tenesteeigar, støtta klient og versjon, endepunktnamn, protokoll og port, og korleis profilen vert levert. Legg til det private DNS-suffikset og dei interne applikasjonane som bryt saman utan tunnelen, for det er dei brukaren rapporterer som øydelagd VPN sjølv når tunnelen er oppe. Oppbevar notatet i saka eller i wikien til teamet, aldri i eit skjermbilete av eit grønt statusikon.

Gjenoppretting av autentisering er eit eige notat, og det høyrer heime i passordhandsamaren eller i identitetsprosessen til organisasjonen. Å samla nøklar og passord i eit uverna notat fordi ei tilbakestilling kjem, er måten ei hending som kan gjenopprettast vert til ei sikkerheitshending. Notatet skal seia kvar gjenopprettingsmaterialet ligg, ikkje gjengje det.

Namngje òg personen som kan godkjenna ei ny utferding av sertifikatet. Ein godkjenningsveg som tek to dagar er framleis betre enn å oppdaga det same dagen.

Administrerte og personlege profilar kjem tilbake ulikt

Ei administrert eining får innstillingane sine att når ho vert registrert på nytt, og difor kjem registreringa før gjenopprettinga av brukardata. Ein personleg profil liknar meir på ei nedlasta fil: etter slettinga treng brukaren ei ny nedlasting frå den utferdande tenesta og eit nytt tillitsvedtak. Ein generell tryggleikskopi gjenopprettar innstillingar, ikkje ein privat nøkkel som vart generert som ikkje-eksporterbar, så kvar legitimasjon må kontrollerast mot sin eigen utferdingsveg og ikkje mot gjenopprettingsresultatet.

Stadfest MFA-metoden i same runde, fordi telefonen som tek imot push ofte er telefonen som vert sletta. Viss den einaste registrerte faktoren bur der, organiser ein andre via identitetsteamet og den verifiserte prosessen før tilbakestillinga. Levetida til sertifikatet høyrer òg med i den samtalen, sidan eit kortliva sertifikat kan gå ut medan eininga ligg i ei skuff, og Apples rettleiing for konfigurasjonsprofilar dekkjer installasjons- og fjerningsførespurnadene du møter på vegen tilbake. Viss oppsettsinstruksjonane berre kan lesast bak VPN-en, bryt den avhengnaden før slettinga og ikkje etter.

Kontroller det gjenoppretta sambandet mot ein ekte ressurs

Etter gjenopprettinga installerer du den støtta klienten eller profilen, loggar inn og opnar ein intern ressurs som krev tunnelen. Ein tilkopla-indikator beviser at tunnelen finst, ikkje at namneoppslag og ruting når tenesta brukaren treng. Kontroller òg tillitskjeda: viss profilen presenterer ei ukjend rot, stopp og stadfest utferdaren i staden for å trykkja godta for å verta snøgt ferdig. Ei ukjend rot som vert godteken under ei hastig gjenoppretting, er eit tillitsvedtak teke ved eit uhell.

Test deretter delane som feilar i stillheit: det private DNS-suffikset som vert løyst til ei intern adresse, datoen til sertifikatet og éin applikasjon som er avhengig av tunnelen. Be brukaren gjenta innlogginga utan rettleiing, fordi forsøket hans er overleveringstesten.

Trekk attende den gamle einingidentiteten når telefonen vert bytt ut eller når tilbakestillinga følgde eit tap. Å gjenoppretta ein profil tilbakekallar ikkje ein kopi som framleis kan finnast ein annan stad.

Sjekklista før tilbakestilling, på ein stad

Eigar, klient, endepunkt, protokoll og leveringsmetode; DNS-suffikset og avhengige applikasjonar; MFA-gjenopprettingsvegen og kven som godkjenner han; utferdingsvegen til sertifikatet og levetida; og registreringsmetoden for ei administrert eining. Viss noka linje er tom, er tilbakestillinga eit myntkast. Lista tek ti minutt og avgjer om dette er ei gjenoppretting eller eit avbrot.

Oppbevar han der personen som gjer gjenopprettinga kan lesa han utan telefonen, og gje han ein utløpsgjennomgang, fordi endepunkt og eigarar endrar seg. Eit gjenopprettingsnotat som siterer ein nedlagd gateway, er verre enn ingen notat, fordi det inviterer til ei sjølvsikker feil handling.