iPad öz VPN müştəri sertifikatına ehtiyac duyurmu?

Komandaya yeni bir iPad qoşulur və ən sürətli yol mövcud müştəri sertifikatını ixrac edib planşetə quraşdırmaqdır. Bu, kimsə işdən çıxana, cihazını itirənə və ya hansı cihazın nə vaxt qoşulduğunu soruşan audit tələb olunana qədər işləyir. Qərar sertifikat faylı ilə deyil, kimliklə bağlıdır: hər cihazın öz başına səlahiyyətləndirilə və ləğv edilə bilməsi. Xərc və idarəetmə səyi cavabı müəyyən edir və hər ikisi göründüyündən kiçikdir.

Ortaq verən, ayrı kimliklər

Hər cihaz eyni sertifikat orqanına güvənə və eyni şlüzə qoşula bilər, eyni zamanda fərqli müştəri kimliyi daşıya bilər. Verən güvən ankeridir, kimlik isə serverin subyektini siyasətə xəritələdiyi açar cütüdür. İkisini qarışdırmaq paylaşılan sertifikatı zərərsiz hiss etdirən şeydir. O, yalnız kimsə hansı cihazın sessiya açdığını bilməli olana qədər zərərsiz qalır.

Verəni paylaşmaq konfiqurasiya işini qənaət edir və cihaz başına hesabatlılıqda heç nəyi dəyişmir. Kimliyi paylaşmaq isə hər cihazı tək ləğv edilə bilən vahidə çökdürür: birini ləğv etmək hamısını ləğv edir, əvəzləyicini səlahiyyətləndirmək isə indiyə qədər yaradılmış hər açar surətini səlahiyyətləndirir. Bu mübadiləni cümə günü axşamüstü daha sürətli olduğu üçün fayl kopyalamaq əvəzinə açıq şəkildə etməyə dəyər.

İkinci sertifikat çox baha başa gələndə

Cihaz başına qeydiyyat bir addım baha başa gəlir: idarə olunan yük, SCEP sorğusu və ya birdəfəlik parolla bələdçili idxal. Həm də seriya nömrələrini və bitmə tarixlərini izləmək üçün bir yer tələb edir ki, bu, əksər yerləşdirmələrin ilk sertifikat bitənə qədər unutduğu hissədir. Hər iki xərc birdəfəlikdir və qeydiyyat axını onları avtomatlaşdırdıqdan sonra hər ikisi azalır.

Bu xərc iki planşet və bir istifadəçisi olan ev üçün realdır, belə yerdə paylaşılan kimlik bir cümlə ilə sənədləşdirilmiş məqbul qərardır. Lakin girişin hər şəxs və ya hər cihaz üzrə geri götürülməli olduğu xidmət üçün məqbul deyil, çünki ləğv hekayəsi parol əvəzinə sertifikatlardan istifadənin bütün səbəbidir. Yerləşdirməni cihazların əl dəyişdirmə tezliyinə görə qiymətləndirin, bugün mövcud olan cihaz sayına görə deyil.

Cihazı qeydiyyata alın, açarı kopyalamayın

Müasir platformalar şəxsi açarları qorunan anbarda saxlayır və bəziləri onları dizayn üzrə ixrac edilə bilməz kimi işarələyir. Kopiyalamanı ilk növbədə qeyri-mümkün edən məhz bu xassədir və həm də noutbukdan ixrac edilmiş paketin hər hansı dəstəklənən üsulla planşetdə yenidən idxal edilə bilməməsinin səbəbidir. Yenə də cəhd etmək təmiz quraşdırılan və sonra heç vaxt autentifikasiya etməyən profil yaradır.

Yerləşdirmənin artıq dəstəklədiyi qeydiyyat üsulundan istifadə edin: idarə olunan kimlik yükü, SCEP xidməti və ya cihazda yeni açar verən hesab əsaslı axın. İtkin kimliyi həll etmək üçün sertifikat orqanının şəxsi açarını paylamaq daha böyük təsir dairəsi olan başqa bir səhvdır. Orqan etimadnamə verir və heç vaxt son nöqtəyə səyahət etməməlidir.

Cavab verməzdən əvvəl ləğvi yoxlayın

Paylaşılan variantı seçməzdən əvvəl ləğvin ən pis gündə necə göründüyünü təsvir edin. Əgər cavab bir neçə cihaza təsir edən tək bir əməliyyatdırsa, dizayn artıq əleyhinizə qərar verib.

openssl pkcs12 -in client.p12 -info -noout
openssl x509 -in client.pem -noout -subject -issuer -serial -dates
openssl verify -CAfile ca.pem client.pem

Əslində əlinizdə olan materialı yoxlayın: şəxsi açar varmı, subyekt nə deyir və seriya nömrəsi fərdi şəkildə ləğv edilə bilərmi. Açarı olmayan sertifikat faylı heç nəyi autentifikasiya edə bilməz, buna görə bəzi kopyalanmış kimliklər ilk bağlantıda uğursuz olur.

Tətbiqi planşetdən silmək ləğv deyil və server kimliyi kimsə onu söndürənə qədər qəbul etməyə davam edir. Birinci cihaz qeydiyyata alınmazdan əvvəl bu cümləni iş kitabına yazın.