Vad en iPhone-återställning raderar från din VPN-konfiguration

Radera telefonen och VPN-profilen kanske helt enkelt inte kommer tillbaka. En iPhone-säkerhetskopia bär mycket, men den är inget löfte om att en privat nyckel, en hanterad profil eller en registreringsstatus kommer tillbaka med den. Glappet visar sig oftast timmar senare, när användaren är på resa och den raderade telefonen var den enda fungerande inloggningsvägen. Fem fakta nedskrivna i förväg förhindrar den eftermiddagen.

Vad en säkerhetskopia bär och vad den aldrig har haft

En lokal säkerhetskopia eller iCloud-kopia återställer användardata och många appinställningar, och den kan återställa autentiseringsuppgifter som en app väljer att inkludera. Den kan inte återskapa en privat nyckel som genererades inuti secure enclave och markerades som icke-exporterbar, och den registrerar inte enheten i hanteringen igen. En konfigurationsprofil som kom från en MDM-server levereras vanligtvis igen av den servern, inte av säkerhetskopian. Alla tre fallen ser likadana ut på skärmen Inställningar och beter sig olika efter en radering.

Skillnaden spelar roll eftersom den avgör vem som kan lösa problemet. Användardata tillhör personen, profilen och dess förtroendeankare tillhör den som utfärdade dem, och den privata nyckeln tillhör tjänsten som måste utfärda den igen. Om du inte kan namnge dessa tre ägare före återställningen är återställningsplanen ofullständig.

En fråga testar planen: vem utfärdar en ersättning när nyckeln är borta? Om svaret är ingen, radera inte telefonen än.

Skriv ned vad en kollega kan bygga upp igen från

Skriv ned de fem fakta som gör det möjligt för någon annan att bygga upp anslutningen igen: tjänsteägare, klient och version som stöds, slutpunktens namn, protokoll och port, och hur profilen levereras. Lägg till det privata DNS-suffixet och de interna applikationer som går sönder utan tunneln, eftersom det är dem användaren rapporterar som trasig VPN även när tunneln är uppe. Förvara anteckningen i ärendet eller teamets wiki, aldrig i en skärmbild av en grön statusikon.

Återställning av autentisering är en separat anteckning, och den hör hemma i lösenordshanteraren eller organisationens identitetsprocess. Att samla nycklar och lösenord i en oskyddad anteckning för att en återställning är på väg är hur en återställningsbar händelse blir en incident. Anteckningen ska säga var återställningsmaterialet finns, inte återge det.

Namnge också personen som kan godkänna en ny utfärdning av certifikatet. En godkännandeväg som tar två dagar är fortfarande bättre än att upptäcka det samma dag.

Hanterade och personliga profiler kommer tillbaka olika

En hanterad enhet får sina inställningar igen när den registreras på nytt, därför kommer registreringen före återställningen av användardata. En personlig profil liknar mer en nedladdad fil: efter raderingen behöver användaren en ny nedladdning från den utfärdande tjänsten och ett nytt förtroendebeslut. En allmän säkerhetskopia återställer inställningar, inte en privat nyckel som skapades som icke-exporterbar, så varje autentiseringsuppgift måste kontrolleras mot sin egen återutgivningsväg och inte mot återställningsresultatet.

Bekräfta MFA-metoden i samma omgång, eftersom telefonen som tar emot push ofta är telefonen som raderas. Om den enda registrerade faktorn bor där, ordna en andra via identitetsteamet och den verifierade processen före återställningen. Certifikatets livslängd hör också till det samtalet, eftersom ett kortlivat certifikat kan gå ut medan enheten ligger i en låda, och Apples vägledning för konfigurationsprofiler täcker installations- och borttagningsfrågorna du möter på vägen tillbaka. Om installationsanvisningarna bara kan läsas bakom VPN:en, bryt det beroendet före raderingen och inte efter.

Kontrollera den återställda anslutningen mot en riktig resurs

Efter återställningen installerar du den klient eller profil som stöds, loggar in och öppnar en intern resurs som kräver tunneln. En ansluten-indikator bevisar att tunneln finns, inte att namnmatchning och routing når tjänsten användaren behöver. Kontrollera även förtroendekedjan: om profilen presenterar en okänd rot, stanna och bekräfta utfärdaren i stället för att trycka acceptera för att bli snabbt klar. En okänd rot som accepteras under en hastig återställning är ett förtroendebeslut som fattats av misstag.

Testa sedan delarna som misslyckas tyst: det privata DNS-suffixet som matchar en intern adress, certifikatets datum och en applikation som är beroende av tunneln. Be användaren upprepa inloggningen utan vägledning, eftersom deras försök är överlämningstestet.

Dra tillbaka den gamla enhetsidentiteten när telefonen byts ut eller när återställningen följde en förlust. Att återställa en profil återkallar inte en kopia som kan finnas kvar någon annanstans.

Checklistan före återställning, på ett ställe

Ägare, klient, slutpunkt, protokoll och leveransmetod; DNS-suffixet och beroende applikationer; MFA-återställningsvägen och vem som godkänner den; certifikatets återutgivningsväg och dess livslängd; och registreringsmetoden för en hanterad enhet. Om någon rad är tom är återställningen ett myntkast. Listan tar tio minuter och avgör om detta är en återställning eller ett avbrott.

Förvara den där personen som utför återställningen kan läsa den utan telefonen, och ge den en utgångsgenomgång, eftersom slutpunkter och ägare ändras. En återställningsanteckning som citerar en nedlagd gateway är värre än ingen anteckning, eftersom den bjuder in till en självsäker felaktig handling.