Un dispozitiv Apple iese din administrare: ce se întâmplă cu VPN-ul său?
Ștergerea unui profil de administrare ia cu ea încărcătura VPN și certificatele acestuia. Retragerea contului din spatele acelui VPN este un pas separat.
Telefonul înscris ieri afișează încă o intrare VPN în Setări, iar astăzi este scos din uz. Dacă tunelul continuă să funcționeze depinde de două lucruri independente: profilul de administrare care furnizează configurația VPN și identitatea contului sau a certificatului pe care serverul VPN o autorizează. Eliminarea uneia nu o elimină pe cealaltă, de aceea retragerile care par complete lasă în urmă o acreditare validă. Verificați ambele, în această ordine, înainte de a declara dispozitivul încheiat.
Două eliminări separate, adesea confundate
Profilul este un obiect local: poartă setările VPN, certificatele sau preferințele de identitate care le însoțesc și adesea câteva restricții. Autorizarea este la distanță: un cont de utilizator, un certificat de dispozitiv sau o înregistrare de înscriere deținută de cel care încheie tunelul. Una se șterge pe telefon, cealaltă se dezactivează într-o consolă pe care nimeni la birou nu o vede.
Eliminarea profilului de pe dispozitiv este vizibilă și imediată, de aceea pare toată munca. Identitatea din partea serverului este invizibilă de pe telefon și rămâne valabilă până când cineva o dezactivează. Un proces de retragere care șterge doar obiectul local lasă o acreditare care poate fi copiată, restaurată dintr-o copie de siguranță sau înscrisă pe un alt dispozitiv. Așadar cele două eliminări aparțin unor proprietari diferiți și unor liste de verificare diferite.
Ce ia profilul cu el
Ștergerea unui profil de administrare poate elimina configurația VPN împreună cu certificatul care o autentifică, iar în unele aranjamente și aplicațiile instalate alături. Setul exact depinde de modul în care a fost livrată încărcătura și dacă dispozitivul este supravegheat. Citiți lista încărcăturilor înainte de a promite cuiva că va dispărea doar tunelul.
Ștergerea nu este același lucru cu dezînregistrarea, deoarece înregistrarea de înscriere poate reaplica profilul la următoarea conectare a dispozitivului. Înregistrările de proprietate decid dacă acea realocare are loc, și ele explică de ce un dispozitiv șters revine uneori administrat. Citiți metoda de înscriere înainte de a prezice rezultatul și folosiți tabelul ca listă de verificare, nu ca descriere a vreunei valori implicite a vreunui producător.
| Question | How to answer it | If the answer is wrong |
|---|---|---|
| Is the profile gone? | Settings lists no management profile and no managed VPN entry | the device still receives policy at the next check-in |
| Is the identity revoked? | the VPN server rejects that account or certificate | a copied credential still connects |
| Is the enrolment record updated? | the ownership system shows the device as retired | a wipe enrols the device again automatically |
| Is unrelated access intact? | personal or still-authorised services keep working | revocation reached more than the retired device |
Contul funcționează în continuare după ce profilul a dispărut
Testați partea serverului în mod deliberat, deoarece un dispozitiv fără profil nu dovedește nimic despre acreditare. Un certificat copiat, o parolă salvată sau o a doua înscriere se pot autentifica în continuare din altă parte.
Țineți revocarea îngustă. Un emitent comun sau un singur cont folosit pe mai multe dispozitive transformă o retragere într-o întrerupere, iar presiunea de a restabili rapid accesul este felul în care excepțiile devin permanente.
Confirmați dispozitivul și identitatea separat
Parcurgeți cele două verificări în ordine și notați ambele rezultate: dispozitivul nu mai deține profilul, iar identitatea nu mai poate stabili un tunel. Confirmați și că serviciile încă autorizate de pe dispozitiv nu sunt afectate, deoarece o retragere care rupe accesul nelegat este anulată în grabă.
Dacă dispozitivul își schimbă proprietarul, folosiți procesul de proprietate în loc să predați o acreditare funcțională, și notați dacă noul deținător trebuie să se înscrie din nou. Păstrați o evidență scurtă a ceea ce a fost eliminat, fără a reține chei private de care nu mai are nevoie nimeni.