Co reset iPhone’a usuwa z Twojej konfiguracji VPN

Usuń telefon, a profil VPN może po prostu nie wrócić. Kopia zapasowa iPhone’a niesie wiele, ale nie jest obietnicą, że klucz prywatny, profil zarządzany lub stan rejestracji wrócą razem z nią. Luka zwykle ujawnia się godzinami później, gdy użytkownik jest w podróży, a usunięty telefon był jedyną działającą ścieżką logowania. Pięć faktów zapisanych wcześniej zapobiega temu popołudniu.

Co niesie kopia zapasowa, a czego nigdy nie miała

Lokalna kopia zapasowa lub kopia iCloud przywraca dane użytkownika i wiele ustawień aplikacji, a także może przywrócić dane logowania, które aplikacja zdecyduje się uwzględnić. Nie może odtworzyć klucza prywatnego wygenerowanego wewnątrz secure enclave i oznaczonego jako nieeksportowalny ani ponownie zarejestrować urządzenia w zarządzaniu. Profil konfiguracji, który przyszedł z serwera MDM, jest zwykle dostarczany ponownie przez ten serwer, a nie przez kopię zapasową. Wszystkie trzy przypadki wyglądają tak samo na ekranie Ustawienia i zachowują się inaczej po usunięciu.

To rozróżnienie ma znaczenie, bo decyduje, kto może naprawić problem. Dane użytkownika należą do osoby, profil i jego kotwice zaufania należą do tego, kto je wydał, a klucz prywatny należy do usługi, która musi go wydać ponownie. Jeśli nie potrafisz wskazać tych trzech właścicieli przed resetem, plan odzyskiwania jest niekompletny.

Jedno pytanie testuje plan: kto wydaje zamiennik, gdy klucz zniknie? Jeśli odpowiedź brzmi nikt, nie usuwaj jeszcze telefonu.

Zapisz, z czego kolega mógłby odtworzyć

Zapisz pięć faktów, które pozwalają innej osobie odtworzyć połączenie: właściciel usługi, obsługiwany klient i wersja, nazwa punktu końcowego, protokół i port oraz sposób dostarczania profilu. Dodaj prywatny sufiks DNS i wewnętrzne aplikacje, które psują się bez tunelu, bo właśnie je użytkownik zgłasza jako zepsuty VPN, nawet gdy tunel działa. Trzymaj notatkę w zgłoszeniu lub wiki zespołu, nigdy na zrzucie ekranu zielonej ikony stanu.

Odzyskiwanie uwierzytelniania to osobna notatka i należy do menedżera haseł lub procesu tożsamości organizacji. Zbieranie kluczy i haseł w niezabezpieczonej notatce, bo zbliża się reset, to sposób, w jaki zdarzenie odwracalne staje się incydentem. Notatka powinna mówić, gdzie mieszka materiał odzyskiwania, a nie go odtwarzać.

Wskaż też osobę, która może zatwierdzić ponowne wydanie certyfikatu. Ścieżka zatwierdzania trwająca dwa dni jest wciąż lepsza niż odkrycie tego samego dnia.

Profile zarządzane i osobiste wracają inaczej

Urządzenie zarządzane ponownie otrzymuje ustawienia, gdy zarejestruje się na nowo, dlatego rejestracja poprzedza przywrócenie danych użytkownika. Profil osobisty jest bliższy pobranemu plikowi: po usunięciu użytkownik potrzebuje nowego pobrania od usługi wydającej i nowej decyzji o zaufaniu. Ogólna kopia zapasowa przywraca ustawienia, a nie klucz prywatny utworzony jako nieeksportowalny, więc każdą daną logowania trzeba sprawdzić wobec jej własnej ścieżki ponownego wydania, a nie wobec wyniku przywracania.

Potwierdź metodę MFA w tym samym przebiegu, bo telefon odbierający push to często telefon, który jest usuwany. Jeśli jedyny zarejestrowany czynnik mieszka tam, przed resetem zorganizuj drugi przez zespół tożsamości i zweryfikowany proces. Okres ważności certyfikatu też należy do tej rozmowy, ponieważ certyfikat krótkoterminowy może wygasnąć, gdy urządzenie leży w szufladzie, a przewodnik Apple po profilach konfiguracji obejmuje monity o instalację i usunięcie, które napotkasz w drodze powrotnej. Jeśli instrukcje konfiguracji można przeczytać tylko zza VPN, zerwij tę zależność przed usunięciem, a nie po nim.

Sprawdź przywrócone połączenie na prawdziwym zasobie

Po przywróceniu zainstaluj obsługiwanego klienta lub profil, zaloguj się i otwórz zasób wewnętrzny wymagający tunelu. Wskaźnik połączenia dowodzi, że tunel istnieje, a nie że rozwiązywanie nazw i routing docierają do usługi, której użytkownik potrzebuje. Sprawdź też łańcuch zaufania: jeśli profil przedstawia nieznany korzeń, zatrzymaj się i potwierdź wydawcę, zamiast naciskać akceptuj, żeby szybko skończyć. Nieznany korzeń zaakceptowany podczas pośpiesznego przywracania to decyzja o zaufaniu podjęta przypadkiem.

Potem przetestuj części, które zawodzą cicho: prywatny sufiks DNS rozwiązujący się na adres wewnętrzny, datę certyfikatu i jedną aplikację zależną od tunelu. Poproś użytkownika o powtórzenie logowania bez wskazówek, bo jego próba jest testem przekazania.

Wycofaj starą tożsamość urządzenia, gdy telefon zostanie wymieniony albo gdy reset nastąpił po utracie. Przywrócenie profilu nie unieważnia kopii, która może nadal istnieć gdzie indziej.

Lista kontrolna przed resetem, w jednym miejscu

Właściciel, klient, punkt końcowy, protokół i metoda dostarczania; sufiks DNS i zależne aplikacje; ścieżka odzyskiwania MFA i kto ją zatwierdza; ścieżka ponownego wydania certyfikatu i jego ważność; oraz metoda rejestracji dla urządzenia zarządzanego. Jeśli którykolwiek wiersz jest pusty, reset jest rzutem monetą. Lista zajmuje dziesięć minut i decyduje, czy to przywrócenie, czy awaria.

Przechowuj ją tam, gdzie osoba wykonująca przywracanie może ją przeczytać bez telefonu, i dodaj przegląd terminu, bo punkty końcowe i właściciele się zmieniają. Notatka o odzyskiwaniu, która cytuje wycofaną bramę, jest gorsza niż brak notatki, bo zaprasza do pewnego siebie błędnego działania.