Um dispositivo Apple sai da gestão: o que acontece ao seu VPN?
Remover um perfil de gestão leva consigo o payload de VPN e os seus certificados. Retirar a conta por trás desse VPN é um passo separado.
O telefone inscrito ontem ainda mostra uma entrada de VPN em Ajustes, e hoje está a ser retirado. Se o túnel continua a funcionar depende de duas coisas independentes: o perfil de gestão que fornece a configuração de VPN e a identidade da conta ou do certificado que o servidor de VPN autoriza. Remover uma não remove a outra, e é por isso que as retiradas que parecem completas deixam para trás uma credencial válida. Verifique as duas, por essa ordem, antes de declarar o dispositivo terminado.
Duas remoções separadas, muitas vezes confundidas
O perfil é um objeto local: transporta as definições de VPN, os certificados ou as preferências de identidade que as acompanham e, muitas vezes, algumas restrições. A autorização é remota: uma conta de utilizador, um certificado de dispositivo ou um registo de inscrição guardado por quem termina o túnel. Uma apaga-se no telefone, a outra desativa-se numa consola que ninguém na secretária vê.
Remover o perfil do dispositivo é visível e imediato, o que faz parecer todo o trabalho. A identidade do lado do servidor é invisível a partir do telefone e mantém-se válida até alguém a desativar. Um processo de retirada que apaga apenas o objeto local deixa uma credencial que pode ser copiada, restaurada a partir de uma cópia de segurança ou inscrita noutro dispositivo. As duas remoções pertencem, por isso, a donos diferentes e a listas de verificação diferentes.
O que o perfil leva consigo
Apagar um perfil de gestão pode remover a configuração de VPN juntamente com o certificado que a autentica e, em algumas disposições, as aplicações instaladas ao lado. O conjunto exato depende de como o payload foi entregue e de o dispositivo estar sob supervisão. Leia a lista de payloads antes de prometer a alguém que só o túnel vai desaparecer.
Apagar não é o mesmo que anular a inscrição, porque o registo de inscrição pode voltar a aplicar o perfil na próxima vez que o dispositivo se ligar. São os registos de propriedade que decidem se essa reatribuição chega a acontecer, e explicam por que razão um dispositivo apagado às vezes regressa gerido. Leia o método de inscrição antes de prever o resultado e use a tabela como lista de verificação, não como descrição de qualquer predefinição de qualquer fabricante.
| Question | How to answer it | If the answer is wrong |
|---|---|---|
| Is the profile gone? | Settings lists no management profile and no managed VPN entry | the device still receives policy at the next check-in |
| Is the identity revoked? | the VPN server rejects that account or certificate | a copied credential still connects |
| Is the enrolment record updated? | the ownership system shows the device as retired | a wipe enrols the device again automatically |
| Is unrelated access intact? | personal or still-authorised services keep working | revocation reached more than the retired device |
A conta continua a funcionar depois de o perfil desaparecer
Teste o lado do servidor de propósito, porque um dispositivo sem perfil não prova nada sobre a credencial. Um certificado copiado, uma palavra-passe guardada ou uma segunda inscrição ainda podem autenticar-se noutro sítio.
Mantenha a revogação estreita. Um emissor partilhado ou uma única conta usada em vários dispositivos transforma uma retirada numa falha, e a pressão para restabelecer o acesso depressa é a forma como as exceções se tornam permanentes.
Confirme o dispositivo e a identidade separadamente
Faça as duas verificações por ordem e registe os dois resultados: o dispositivo já não tem o perfil e a identidade já não consegue estabelecer um túnel. Confirme também que os serviços ainda autorizados no dispositivo não são afetados, porque uma retirada que quebra acesso não relacionado é revertida à pressa.
Se o dispositivo mudar de mãos, use o processo de propriedade em vez de entregar uma credencial operacional, e registe se o novo titular tem de se inscrever de novo. Guarde um registo breve do que foi removido, sem conservar chaves privadas de que ninguém precisa depois.