Що скидання iPhone видаляє з вашого налаштування VPN

Сотріть телефон, і профіль VPN може просто не повернутися. Резервна копія iPhone несе багато, але це не обіцянка, що приватний ключ, керований профіль або стан реєстрації повернуться разом із нею. Розрив зазвичай виявляється через години, коли користувач у дорозі, а стертий телефон був єдиним робочим шляхом входу. П’ять фактів, записаних заздалегідь, запобігають тому пообіддю.

Що несе резервна копія і чого в ній ніколи не було

Локальна копія або копія iCloud відновлює дані користувача й багато налаштувань програм, а також може відновити облікові дані, які програма вирішить включити. Вона не може створити заново приватний ключ, створений усередині secure enclave і позначений як неекспортований, і не реєструє пристрій у керуванні знову. Профіль конфігурації, що надійшов із сервера MDM, зазвичай доставляється знову тим сервером, а не копією. Усі три випадки виглядають однаково на екрані Налаштування і поводяться по-різному після стирання.

Ця різниця важлива, бо визначає, хто може виправити проблему. Дані користувача належать людині, профіль і його якорі довіри належать тому, хто їх видав, а приватний ключ належить сервісу, який має перевипустити його. Якщо ви не можете назвати цих трьох власників до скидання, план відновлення неповний.

Одне питання перевіряє план: хто випускає заміну, коли ключ зник? Якщо відповідь ніхто, поки не стирайте телефон.

Запишіть, із чого колега міг би відновити

Запишіть п’ять фактів, які дозволяють іншій людині відновити підключення: власник сервісу, підтримуваний клієнт і версія, назва кінцевої точки, протокол і порт, і як доставляється профіль. Додайте приватний суфікс DNS і внутрішні програми, які ламаються без тунелю, бо саме їх користувач повідомляє як зламаний VPN навіть при працюючому тунелі. Тримайте запис у тікеті або вікі команди, ніколи на знімку екрана зеленої іконки стану.

Відновлення автентифікації — окремий запис, і він належить менеджеру паролів або процесу ідентичності організації. Збирання ключів і паролів у незахищену нотатку через те, що наближається скидання, — це шлях, яким відновлювана подія перетворюється на інцидент. Запис має казати, де живе матеріал відновлення, а не відтворювати його.

Назвіть також людину, яка може затвердити перевипуск сертифіката. Шлях затвердження, що триває два дні, усе ж кращий за виявлення цього того самого дня.

Керовані та особисті профілі повертаються по-різному

Керований пристрій знову отримує налаштування, коли реєструється заново, тому реєстрація йде перед відновленням даних користувача. Особистий профіль ближчий до завантаженого файлу: після стирання користувачеві потрібне нове завантаження від сервісу, що видає, і нове рішення про довіру. Загальна резервна копія відновлює налаштування, а не приватний ключ, створений як неекспортований, тому кожні облікові дані треба перевіряти за їхнім власним шляхом перевипуску, а не за результатом відновлення.

Підтвердьте метод MFA у тому самому проході, бо телефон, який отримує push, часто і є телефоном, який стирають. Якщо єдиний зареєстрований фактор живе там, організуйте другий через команду ідентичності та перевірений процес до скидання. Термін дії сертифіката теж належить до цієї розмови, оскільки короткоживучий сертифікат може спливти, поки пристрій лежить у шухляді, а посібник Apple з профілів конфігурації охоплює запити встановлення й видалення, які ви зустрінете на зворотному шляху. Якщо інструкції з налаштування можна прочитати лише з-за VPN, розірвіть цю залежність до стирання, а не після.

Перевірте відновлене підключення на реальному ресурсі

Після відновлення встановіть підтримуваний клієнт або профіль, увійдіть і відкрийте внутрішній ресурс, який потребує тунелю. Індикатор підключення доводить, що тунель існує, а не що розв’язання імен і маршрутизація доходять до сервісу, потрібного користувачеві. Перевірте й ланцюг довіри: якщо профіль подає невідомий корінь, зупиніться і підтвердьте видавця, а не натискайте прийняти, щоб швидко закінчити. Невідомий корінь, прийнятий під час поспішного відновлення, — це рішення про довіру, ухвалене випадково.

Потім перевірте частини, які тихо відмовляють: приватний суфікс DNS, що розв’язується у внутрішню адресу, дату сертифіката і одну програму, що залежить від тунелю. Попросіть користувача повторити вхід без підказок, бо його спроба і є перевіркою передачі.

Виведіть стару ідентичність пристрою з обігу, коли телефон замінено або скидання сталося після втрати. Відновлення профілю не відкликає копію, яка може ще існувати деінде.

Контрольний список перед скиданням, в одному місці

Власник, клієнт, кінцева точка, протокол і спосіб доставки; суфікс DNS і залежні програми; шлях відновлення MFA і хто його затверджує; шлях перевипуску сертифіката та його термін; і спосіб реєстрації для керованого пристрою. Якщо якийсь рядок порожній, скидання — це кидок монети. Список займає десять хвилин і вирішує, відновлення це чи збій.

Зберігайте його там, де людина, яка виконує відновлення, зможе прочитати його без телефона, і дайте йому перегляд терміну, бо кінцеві точки й власники змінюються. Нотатка про відновлення, що цитує виведений з експлуатації шлюз, гірша за відсутність нотатки, бо запрошує до впевненої хибної дії.