iPad-də parol sorğusu olmadan VPN: sertifikatlar və ya saxlanılmış giriş
Saxlanılmış parol və cihaz sertifikatı sorğunu fərqli yollarla aradan qaldırır. Onları müqayisə edin və sonra tunelin nəyi açdığını ayrıca qərarlaşdırın.
„Məndən parol soruşmağı dayandırın“ əslində üç tələbi bir şikayətdə birləşdirir və iPad-də quraşdırma onlara müxtəlif yerlərdə cavab verir. Sorğu autentifikasiyadan, vaxt aktivləşdirmədən, əhatə isə məcburi tətbiqdən gəlir. Əvvəlcə sorğunu aradan qaldıran giriş məlumatını seçin, sonra tunelin nə vaxt açıldığını müəyyən edən şeyi ayrıca qərarlaşdırın. Bu iki qərarı qarışdırmaq saxlanılmış parolun hələ də toxunuşu gözləyən profildə qalmasının dəqiq səbəbidir.
| Saved or shared secret | Device certificate | |
|---|---|---|
| What the user sees | no prompt while the credential stays valid | no prompt, no password to rotate |
| What the admin manages | the secret in the profile and its distribution | enrollment, expiry and revocation per device |
| Typical failure | gateway demands a second factor | expired or revoked certificate |
Bir şikayətdə iki problem
iPad-də yerli IKEv2 konfiqurasiyası parola və ya sertifikata istinad edə bilər, AuthenticationMethod açarı hansının tətbiq olunduğunu həll edir, PayloadCertificateUUID isə kimliyi verən giriş məlumatını adlandırır. Şlüzün bunlardan hansını qəbul edəcəyi server siyasəti məsələsidir, müştəri üstünlüyü deyil. Ona görə əvvəlcə VPN xidmətinin nəyə icazə verdiyini müəyyən etmək lazımdır, çünki iPad qarşı tərəfin rədd etdiyi üsula gedib çıxa bilməz.
Yalnız bundan sonra tunelin nə vaxt aktivləşdiyi barədə danışmağın mənası var və bu, tamam başqa profil açarları dəstidir.
Birinci variant: iPad-in təkrar istifadə edə biləcəyi giriş məlumatları
Saxlanılmış hesab parolu və ya ümumi sirr istifadəçini və ya qrupu autentifikasiya edən şlüzü qane edir və sirr qüvvədə qaldıqca sorğunu aradan qaldırır. Zəif tərəfi həyat dövrüdür: sirr profildə durur, bir neçə cihaz onu paylaşa bilər, rotasiya isə onu daşıyan hər profilə toxunmağı tələb edir. Əgər xidmət əlavə olaraq birdəfəlik amil və ya interaktiv təsdiq tələb edirsə, heç bir yerli parametr bu siyasəti nəzarətsiz girişə çevirmir.
Bir tətbiqin saxladığı parol da başqa VPN tətbiqinə avtomatik olaraq əlçatan olmur, buna görə eyni hesab bir müştəridə soruşmağı dayandıra, digərində isə hər dəfə soruşa bilər.
İkinci variant: öz açarı olan cihaz sertifikatı
Sertifikat sorğunu daha möhkəm yolla aradan qaldırır, çünki iPad sirri təkrarlamaq əvəzinə şəxsi açara sahib olduğunu sübut edir. Bunun üçün yarpaq sertifikatın və onun açarının təsdiqlənmiş qeydiyyat yolu ilə gəlməsi və şlüzün həmin bağlantı üçün sertifikatla autentifikasiyanı qəbul etməsi lazımdır. Yalnız CA sertifikatı idxal etmək cihaza etimad materialı verir və başqa heç nə, bu isə tez-tez rast gəlinən və səssiz xətadır.
Bunun qiyməti həyat dövrü işidir. Hər iPad öz kimliyini alır ki, itirilmiş cihaz bütün parkı yenidən vermədən ləğv edilə bilsin, bitmə tarixləri isə real əməliyyat hadisələrinə çevrilsin. Səssizcə bitən sertifikat həmin səhər VPN-in kəsilməsi kimi görünür.
Seçimi üstünlüyə görə deyil, şlüzün nəyi qəbul etdiyinə görə edin
VPN administratoruna iki sual verin: xidmət bu müştəri tipi üçün hansı autentifikasiya üsullarını qəbul edir və onlardan biri interaktiv daxiletmə tələb edirmi. Cavab yalnız sertifikatdırsa, qeydiyyat və yenilənməni planlaşdırın. Cavab parol üstəgəl ikinci amildirsə, sorğunun siyasət olduğunu qəbul edin və onu cihaz nasazlığı kimi qəbul etməyi dayandırın. İkisi də qəbul olunursa, nəzarət olunan park üçün həyat dövründə sertifikat, bir neçə cihaz üçün quraşdırma səyində isə parol qalib gəlir.
Seçilmiş üsulu profil identifikatorunun yanında quraşdırma qeydinə yazın, əks halda profilə sonradan toxunan şəxs digərini seçəcək.
Sonra aktivləşdirməni autentifikasiyadan ayırın
VPN On Demand konfiqurasiya edilmiş şərt uyğun gəldikdə tuneli açır — DNS domeni, interfeys tipi və ya qoşulmuş şəbəkə olsun, və Apple bunu istifadəçi qarşılıqlı əlaqəsi tələb etməyən kimi sənədləşdirir. Bu, yalnız nə isə tələb etdikdə əlçatan olmalı olan şəxsi resurslar üçün yaxşı uyğun gəlir. Bu, əhatəni məcburi saxlayan və öz nəzarət və profil tələbləri ilə gələn idarə olunan Always On ilə eyni deyil.
İşləyən giriş məlumatı hər iki halda heç nə etmir. Bir çox iPad-də tamamilə yaxşı sertifikat var və buna baxmayaraq heç bir tələb qaydası işə düşmədiyi üçün əl ilə toxunuşu gözləyir.
Tələbi administratorun hərəkət edə biləcəyi formada təqdim edin: bu iPad bu resurslara istifadəçinin təkrar daxiletməsi olmadan, bu giriş məlumatı tipi ilə və bu aktivləşdirmə və nasazlıq qaydalarına uyğun çatmalıdır. Əgər hazırkı xidmət bu şərtləri yerinə yetirə bilmirsə, təkrarlanan sorğular nəzərdə tutulduğu kimi işləyən siyasətdir.