Kan ’n iPhone die OpenVPN-profiel van jou Mac hergebruik?

Een werkende Mac-verbinding is nie ’n sjabloon vir ’n foon nie, selfs wanneer albei dieselfde rekening en dieselfde bediener gebruik. Die Mac-profiel hou dalk sertifikate in aparte lêers, gebruik riglyne wat net op ’n rekenaar sin maak, en steun op ’n identiteit wat die operateur alleen vir daardie masjien uitgereik het. ’n Foon het sy eie pakket, sy eie identiteit en sy eie invoerpad nodig. Om die beleidsvraag van die verpakkingsvraag te skei, is die grootste deel van die werk.

Vra die operateur twee dinge voordat jy enigiets kopieer: of die rekening op meer as een toestel mag loop, en of die foon sy eie sertifikaat moet kry.

Hergebruik is eers ’n beleidsvraag, dan ’n tegniese vraag

’n Kliëntsertifikaat is ’n identiteit, en om een identiteit op twee toestelle te plaas, beteken die bediener kan hulle nie in logboeke, in toegangsreëls of in ’n herroeping van mekaar onderskei nie. Sommige ontplooiings aanvaar dit en aktiveer duplikaat gemeenskaplike name eksplisiet; die meeste doen nie, en die tweede toestel word óf geweier óf stoot die eerste vanlyn. ’n Gedeelde gebruikersnaam en wagwoord maak ’n gedeelde sertifikaat nie gepas nie. Kry die operateur se antwoord skriftelik voordat jy enige oordrag beplan.

Die ouditkant maak net soveel saak. As die foon verlore raak, ontkoppel die herroeping van ’n sertifikaat wat die Mac ook gebruik albei toestelle, en as jy dit geldig laat, het ’n foon steeds werkende VPN-toegang. ’n Sertifikaat per toestel maak die verliesreaksie ’n enkele herroeping, en dit is juis waarom die ekstra registrasiestap bestaan.

Die Mac-profiel en die foonprofiel verskil in die praktyk

Op ’n rekenaar kan ’n .ovpn-lêer langs ’n CA, ’n sertifikaat en ’n sleutel in aparte lêers lê, en dit kan hake, skrifte en paaie dra wat net op daardie bedryfstelsel sin maak. ’n Mobiele kliënt wil daardie stukke gewoonlik inlyn hê of deur ’n PKCS#12-bundel met ’n wagwoord kry, en dit ignoreer of verwerp riglyne wat dit nie kan nakom nie. Om die Mac se lêer te kopieer, lewer dikwels ’n invoer wat misluk, of een wat verbind met die helfte van die opsies weg. Die oplossing is ’n onderhoude mobiele pakket van die operateur, nie ’n handmatig aangepaste lêer met die ongemaklike reëls verwyder nie.

Behandel enige lêer met ’n private sleutel as ’n geloofsbrief, nie as ’n konfigurasie nie. Profielafladings beweeg daarom deur beskermde kanale, en ’n kopie wat in ’n kletsdraad of ’n gids vir afladings bly lê, is ’n lewende geheim met ’n vriendelike lêernaam.

Voer in deur die foon se eie vloei

Installeer die amptelike OpenVPN Connect-toepassing en bring die profiel dan deur sy invoervloei in, hetsy as ’n lêer of as ’n verbindings-URL wat die operateur verskaf. Op ’n onbestuurde foon vra die toepassing toestemming om ’n VPN-konfigurasie by te voeg, wat die stelsel se eie bevestigingstap is. Volg die rekening- en MFA-opdragte soos hulle verskyn, eerder as om waardes uit die Mac vooraf in te vul. As die invoer slaag en die verbinding nie, sit die probleem in die profiel se inhoud, nie in die oordrag nie.

Op ’n bestuurde foon kan die administrateur profielinvoer of -redigering deur die mobiele toestelbestuurskanaal beperk. ’n Beperkte toepassing is nie ’n legkaart om te oorkom nie; gebruik die administrateur se registrasiepad, want daardie pad bepaal ook wat gebeur wanneer die foon vervang word.

Bewys die foon onafhanklik

Maak ’n private hulpbron van die foon af oop op sellulêre data met Wi-Fi afgeskakel, sodat die versoek nie stilweg ’n ander pad kan neem nie. Dat die Mac verbind bly, bewys niks oor die foon se roetes, DNS of aanvaarding van geloofsbriewe nie. Vergelyk dan die twee toestelle: ’n interne gasheernaam wat op die Mac oplos en op die foon misluk, wys op DNS-instellings wat tussen die pakkette verskil. Teken die profielnaam, die toestelidentiteit en wie dit geregistreer het, aan.

Wanneer iets misluk, hou die presiese boodskap en die toepassing se weergawe by. ’n Invoerfout en ’n verbindingsfout kom uit verskillende lae, en om hulle in een verslag saam te smelt, mors ’n retoer. ’n Profiel wat skoon invoer, bewys net dat die lêer ontleed is.

Na registrasie moet jy die oordragkopieë volgens jou bewaarbeleid verwyder en ’n herregistrasiepad dokumenteer. ’n Vervangingsfoon moet ’n nuwe identiteit kry, nie ’n kopie van die ou een nie.