iPhone 的 VPN 描述文件过期？三种不同的过期

VPN 描述文件已过期这句话至少描述了三种互不相关的情况，而每种情况的修法都不同。管理服务可以按自己的生命周期策略撤回配置，证书可能走到有效期末尾，账户也可能在上游失去授权。重装同一个文件对这几种情况都没有用，除非你恰好在对的时机安装。动手之前，先确定到底是哪个对象变了。

移除不等于过期

受管理的配置是一个有所有者的对象，所有者可以把它撤回。管理描述文件被移除时，它下发的 VPN 设置通常也一并消失，再怎么重新输入凭据也不会让条目回来。连接被停用是另一种状态：描述文件还在，开关是关的，设备可能仍持有密钥。读一下设置界面，就能分清是哪一种。

按需规则会让情况更复杂，因为它可以在用户没有任何操作的情况下重新拉起已保存的配置。自己重连的连接只能证明描述文件还在，并不能说明它是不是最新的。问管理员这份配置是被撤回、被替换，还是已安排移除，因为设备的描述文件列表显示的是已经装了什么，而不是原本打算装什么。

客户端证书带有不早于和不晚于两个日期，网关会在这段窗口之外拒绝它。设备时间也是检查的一部分，所以时钟漂移的手机可能在一张别处仍然有效的证书上失败。错误文本很少说明是两个条件中的哪一个不满足，所以设备时钟属于第一步诊断。错误密码产生的失败与证书过期不同，无法到达的端点又是第三种。

已有会话和新认证的表现不一样。有些实现会让隧道一直活到重新协商，所以证书过期后客户端还可能短暂地看起来正常。这段延迟不能证明凭据是好的，能用的会话也不等于登录测试成功。

第三种过期和设备无关：VPN 背后的账户可能失去了授权。目录组成员变更、许可证到期或离职流程都可能在描述文件和证书完全有效的情况下撤销访问。手机此时表现得和坏掉的客户端一模一样，所以这个原因通常最后才被发现。服务自己的日志会记下拒绝并写明原因，只有账户所有者才能读到。

要把它和错误的凭据区分开。被撤销的授权会拒绝正确的密码，而错误的密码会拒绝正确的授权，两者需要不同的人来修。给已被移出组的用户重置密码的帮助台脚本，只会浪费大家一下午。

应使用组织的注册或更换流程，而不是旧文件的副本。重新安装的描述文件携带的是为它签发的身份，而旧导出可能携带已经被撤销的身份。更换出口服务器对私有工作访问毫无帮助，削弱证书校验也不会续期任何东西。两者都把生命周期问题变成了安全例外。

修正之后，打开新连接并使用目标应用，而不是停在角标上。确认现在装的是哪个描述文件和哪个身份，因为设备可能同时持有新旧两个描述文件。在工单里分别记录这三种可能，因为它们有三个不同的所有者和三种不同的补救办法。