Устройство Apple покидает управление: что происходит с его VPN?
Удаление профиля управления уносит с собой полезную нагрузку VPN и её сертификаты. Отзыв учётной записи, стоящей за этим VPN, — отдельный шаг.
Телефон, зарегистрированный вчера, всё ещё показывает запись VPN в Настройках, а сегодня его выводят из эксплуатации. Продолжит ли туннель работать, зависит от двух независимых вещей: профиля управления, который поставляет конфигурацию VPN, и удостоверения учётной записи или сертификата, которое разрешает сервер VPN. Удаление одного не удаляет другое, поэтому вывод из эксплуатации, который выглядит завершённым, оставляет действующие учётные данные. Проверьте и то и другое, в этом порядке, прежде чем объявить устройство закрытым.
Два отдельных удаления, которые часто путают
Профиль — локальный объект: он несёт настройки VPN, связанные с ними сертификаты или параметры удостоверения и нередко несколько ограничений. Разрешение находится вовне: учётная запись пользователя, сертификат устройства или запись регистрации, которую хранит тот, кто завершает туннель. Одно удаляется на телефоне, другое отключается в консоли, которую за столом никто не видит.
Удаление профиля с устройства заметно и мгновенно, поэтому кажется всей работой. Удостоверение на стороне сервера не видно с телефона и остаётся действительным, пока кто-нибудь его не отключит. Процесс вывода из эксплуатации, который удаляет только локальный объект, оставляет учётные данные, которые можно скопировать, восстановить из резервной копии или зарегистрировать на другом устройстве. Поэтому эти два удаления принадлежат разным владельцам и разным контрольным спискам.
Что профиль забирает с собой
Удаление профиля управления может убрать конфигурацию VPN вместе с сертификатом, который её удостоверяет, а в некоторых схемах и приложения, установленные рядом. Точный набор зависит от того, как была доставлена нагрузка и находится ли устройство под надзором. Прочитайте список нагрузок, прежде чем обещать кому-либо, что исчезнет только туннель.
Удаление — не то же самое, что снятие с регистрации, потому что запись регистрации может снова применить профиль при следующей связи устройства. Именно записи о принадлежности решают, произойдёт ли это перераспределение, и они объясняют, почему стёртое устройство иногда возвращается управляемым. Прочитайте способ регистрации, прежде чем предсказывать результат, и используйте таблицу как контрольный список, а не как описание умолчаний какого-либо производителя.
| Question | How to answer it | If the answer is wrong |
|---|---|---|
| Is the profile gone? | Settings lists no management profile and no managed VPN entry | the device still receives policy at the next check-in |
| Is the identity revoked? | the VPN server rejects that account or certificate | a copied credential still connects |
| Is the enrolment record updated? | the ownership system shows the device as retired | a wipe enrols the device again automatically |
| Is unrelated access intact? | personal or still-authorised services keep working | revocation reached more than the retired device |
Учётная запись работает и после исчезновения профиля
Проверьте сторону сервера намеренно, потому что устройство без профиля ничего не доказывает насчёт учётных данных. Скопированный сертификат, сохранённый пароль или вторая регистрация всё ещё могут пройти проверку подлинности откуда-то ещё.
Держите отзыв узким. Общий издатель или одна учётная запись на нескольких устройствах превращают вывод из эксплуатации в сбой, и именно спешка с восстановлением доступа делает исключения постоянными.
Подтвердите устройство и удостоверение по отдельности
Пройдите обе проверки по порядку и запишите оба результата: устройство больше не содержит профиль, а удостоверение больше не может установить туннель. Убедитесь также, что службы на устройстве, которые всё ещё разрешены, не задеты, потому что вывод из эксплуатации, ломающий посторонний доступ, спешно отменяют.
Если устройство переходит к другому владельцу, используйте процедуру передачи владения, а не передавайте рабочие учётные данные, и отметьте, нужно ли новому владельцу регистрироваться заново. Ведите короткую запись о том, что было удалено, не сохраняя закрытые ключи, которые потом никому не нужны.