Ці можа профіль VPN усталяваць сертыфікат на вашай прыладзе?

Профіль VPN можа змяшчаць сертыфікаты, і менавіта з гэтага сказа пачынаецца большасць блытаніны. Што ён змяшчае і чаму ён давярае — гэта два розныя пытанні, на якія адказваюць два розныя механізмы. Убудаваны CA, які адзін кліент выкарыстоўвае для праверкі сервера, — не той самы аб'ект, што корань, якому давярае ўся аперацыйная сістэма. Параўнайце гэтыя дзве рэчы, перш чым вырашыць, што пакет — звычайная справа.

Адказ на галоўнае пытанне — так, але з абсягам, які трэба праверыць.

Што можа змяшчаць профіль VPN

Профіль OpenVPN можа ўтрымліваць сертыфікат CA, сертыфікат кліента і ключ кліента ўбудаванымі паміж іх тэгамі, каб кліент чытаў іх з самога профілю. Гэты матэрыял выкарыстоўваецца для праверкі і аўтэнтыфікацыі ўнутры гэтага аднаго кліента. Ён не трапляе ў сховішча даверу сістэмы проста таму, што знаходзіцца ў файле.

Канфігурацыйны профіль платформы — іншы кантэйнер. Ён можа змяшчаць карысную наванузку з сертыфікатам побач з кіраванымі наладамі: Wi-Fi, VPN, абмежаваннямі, а ў кіраваных разгортваннях — значна больш. Усталяванне перадае гэтыя налады аперацыйнай сістэме, а не адной праграме. У гэтым сэнс фармату, і менавіта таму абсяг мае значэнне.

Давер у межах кліента супраць даверу платформы

Давер у межах кліента абмежаваны кліентам. Калі CA у профілі няправільны, гэты тунель не працуе, а іншыя праграмы застаюцца некранутымі. Давер платформы не абмежаваны нічым пэўным, бо кожная праграма, што выкарыстоўвае сістэмнае сховішча, атрымлівае гэтае рашэнне ў спадчыну.

На платформах Apple гэта бачна асобныя крокі.

Усталяванне загружанага профілю і ўключэнне даверу да сертыфіката — розныя дзеянні, і другое мае ўласнае кіраванне ў наладах даверу да сертыфікатаў. Кіраванае разгортванне можа адрознівацца ад ручной усталёўкі, у тым ліку тым, ці можна наогул выдаліць профіль. Трымайцеся актуальнай дакументацыі платформы для вашай версіі. Запыт, які выглядае часткай наладкі VPN, можа быць самім рашэннем пра давер.

Чаму розніца змяняе ваш адказ

Калі хтосьці пытае, ці ўсталёўвае профіль сертыфікат, карысны адказ называе абсяг. Профіль VPN з уласным CA змяняе тое, што прымае гэты кліент. Профіль, які ўсталёўвае сертыфікат і мае ўключаны давер, змяняе тое, што прымае прылада. Толькі другое можа паўплываць на банкаўскі сайт у браўзеры, які ніколі не дакранаецца да тунелю.

Гэта ўсё параўнанне, і яго варта выказаць проста перад любым ухваленнем.

Што спытаць перад ухваленнем

Спытайце, якой функцыі патрэбны сертыфікат і што ламаецца без яго. Спытайце, хто яго выдаў і што ён павінен пацвярджаць. Спытайце, як яго выдаляюць і ці даступнае выдаленне вам наогул пры выбраным метадзе разгортвання. Спытайце праз сапраўдны канал аператара, а не праз старонку, што прапанавала загрузку.

Старонка загрузкі, якая называе пакет рамонтам VPN, не сказала вам пра абсяг нічога.

Адмова ад нечаканага кораня — не паранойя; гэта тое ж рашэнне, якое браўзер прымае, калі паказвае папярэджанне пра сертыфікат. Розніца ў тым, што гэтае застаецца, і яно можа больш не спытаць.

Як выглядае выдаленне насамрэч

Выдаленне загружанага файла не выдаляе ўсталяваны профіль або яго сертыфікат. Профіль жыве ў наладах кіравання прылады, пакуль яго не выдаляць там, а прылада пад наглядам або кіраваная можа адмовіць. Праверце стан усталявання пасля любога ухваленага змянення і пераканайцеся, што сертыфікат знік, а не дапускайце, што файл быў артэфактам. Затым падключыцеся зноў і паглядзіце, ці працуе тунель, бо выдаленне CA з захаваннем профілю — асобны рэжым адмовы.

Захоўвайце запіс пра выдаўца, мэту, абсяг і шлях выдалення.

Гэты запіс карыснейшы за працоўную іконку VPN, бо ён застаецца для наступнага чалавека, якому трэба вырашыць, ці ўхваляць такі ж запыт на іншай прыладзе.