VPN op iPad sonder wagwoordaanvrae: sertifikate of gestoorde aanmelding
'n Gestoorde wagwoord en 'n toestelsertifikaat verwyder die vraag op verskillende maniere. Vergelyk hulle en besluit dan afsonderlik wat die tonnel oopmaak.
„Hou op om my vir 'n wagwoord te vra” bundel eintlik drie vereistes in een klagte, en 'n iPad-ontplooiing beantwoord hulle op verskillende plekke. Die vraag kom uit verifikasie, die tydsberekening uit aktivering en die dekking uit afdwinging. Kies eers die geloofsbrief wat die vraag verwyder, en besluit dan afsonderlik wat bepaal wanneer die tonnel oopgaan. Om die twee besluite te meng is presies hoe 'n gestoorde wagwoord beland op 'n profiel wat steeds op 'n tik wag.
| Saved or shared secret | Device certificate | |
|---|---|---|
| What the user sees | no prompt while the credential stays valid | no prompt, no password to rotate |
| What the admin manages | the secret in the profile and its distribution | enrollment, expiry and revocation per device |
| Typical failure | gateway demands a second factor | expired or revoked certificate |
Twee probleme in een klagte
'n Inheemse IKEv2-konfigurasie op iPad kan na 'n wagwoord of 'n sertifikaat verwys, en die sleutel AuthenticationMethod besluit watter een geld, terwyl PayloadCertificateUUID die geloofsbrief noem wat die identiteit verskaf. Watter een die poort sal aanvaar, is 'n kwessie van bedienerbeleid, nie kliëntvoorkeur nie. Die eerste ding om vas te stel is dus wat die VPN-diens toelaat, want 'n iPad kan nie tot 'n metode onderhandel wat die ander kant weier nie.
Eers daarna is dit sinvol om te praat oor wanneer die tonnel aktiveer, wat 'n heeltemal ander stel profielsleutels is.
Opsie een: 'n geloofsbrief wat die iPad kan hergebruik
'n Gestoorde rekeningwagwoord of 'n gedeelde geheim bevredig 'n poort wat die gebruiker of die groep verifieer, en dit verwyder die vraag solank die geheim geldig bly. Die swakheid is lewensiklus: die geheim sit in die profiel, verskeie toestelle kan dit deel, en om dit te roteer beteken om elke profiel te raak wat dit dra. As die diens ook 'n eenmalige faktor of 'n interaktiewe goedkeuring vereis, maak geen plaaslike instelling daardie beleid in 'n onbewaakte aanmelding nie.
'n Wagwoord wat deur een app gestoor is, is ook nie outomaties beskikbaar vir 'n ander VPN-implementering nie, en daarom kan dieselfde rekening in een kliënt ophou vra en in 'n ander elke keer vra.
Opsie twee: 'n toestelsertifikaat met sy eie sleutel
'n Sertifikaat verwyder die vraag op 'n sterker manier, want die iPad bewys besit van 'n private sleutel in plaas daarvan om 'n geheim te herhaal. Dit vereis dat die bladsertifikaat en sy sleutel via die goedgekeurde inskrywingspad aankom, en dat die poort sertifikaatverifikasie vir daardie verbinding aanvaar. Om net 'n CA-sertifikaat in te voer gee die toestel vertrouensmateriaal en niks anders nie, wat 'n algemene en stille fout is.
Die prys is lewensikluswerk. Elke iPad kry sy eie identiteit sodat 'n verlore toestel herroep kan word sonder om die hele vloot heruit te reik, en vervaldatums word werklike operasionele gebeure. 'n Sertifikaat wat stilweg verval lyk presies soos 'n VPN-onderbreking op die oggend dat dit gebeur.
Kies volgens wat die poort aanvaar, nie volgens voorkeur nie
Vra die VPN-administrateur twee vrae: watter verifikasiemetodes die diens vir hierdie kliënttipe aanvaar, en of enige van hulle interaktiewe invoer vereis. As die antwoord net sertifikaat is, beplan inskrywing en hernuwing. As die antwoord wagwoord plus 'n tweede faktor is, aanvaar dat die vraag beleid is en hou op om dit as 'n toestelfout te behandel. As albei aanvaar word, wen die sertifikaat op lewensiklus vir 'n toesigvloot en die wagwoord op opstellingswerk vir 'n paar toestelle.
Skryf die gekose metode in die ontplooiingsrekord langs die profielidentifiseerder, want anders kies die volgende persoon wat aan die profiel raak die ander een.
Skei dan aktivering van verifikasie
VPN On Demand maak die tonnel oop wanneer 'n gekonfigureerde voorwaarde pas, of dit 'n DNS-domein, 'n koppelvlaktipe of 'n aangeslote netwerk is, en Apple dokumenteer dit as wat geen gebruikersinteraksie vereis nie. Dit pas goed by private hulpbronne wat slegs bereikbaar moet word wanneer iets daarvoor vra. Dit is nie dieselfde as bestuurde Always On nie, wat dekking afgedwing hou en sy eie toesig- en profielvereistes meebring.
'n Werkende geloofsbrief doen niks vir enige van die twee nie. Baie iPads het 'n heeltemal goeie sertifikaat en wag steeds vir 'n handmatige tik omdat geen on-demand-reël ooit geaktiveer het nie.
Handig die vereiste oor in 'n vorm waarop 'n administrateur kan handel: hierdie iPad moet hierdie hulpbronne bereik sonder herhalende gebruikersinvoer, met hierdie tipe geloofsbrief, en onder hierdie aktiverings- en onderbrekingsreëls. As die huidige diens nie aan daardie voorwaardes kan voldoen nie, is herhaalde vrae die beleid wat werk soos ontwerp.