Ці патрэбны iPad уласны кліенцкі сертыфікат VPN?

Новы iPad далучаецца да каманды, і найхутчэйшы шлях — экспартаваць існуючы кліенцкі сертыфікат і ўсталяваць яго на планшэце. Гэта працуе, пакуль нехта не звольніцца, не згубіць прыладу або не папросіць аўдыт, які пакажа, якая прылада і калі падключалася. Рашэнне не пра файл сертыфіката, а пра ідэнтычнасць: ці можна кожную прыладу аўтарызаваць і адклікаць асобна. Кошт і намаганні на кіраванне вызначаюць адказ, і абодва меншыя, чым здаюцца.

Агульны выдавец, асобныя ідэнтычнасці

Кожная прылада можа давяраць таму ж цэнтру сертыфікацыі і падключацца да таго ж шлюза, маючы пры гэтым іншую кліенцкую ідэнтычнасць. Выдавец — гэта якар даверу, а ідэнтычнасць — пара ключоў, суб'ект якой сервер суадносіць з палітыкай. Менавіта змешванне гэтых паняццяў робіць агульны сертыфікат бяскрыўдным на выгляд. Ён застаецца бяскрыўдным толькі да таго моманту, пакуль камусьці не спатрэбіцца даведацца, якая прылада адкрыла сеанс.

Агульны выдавец эканоміць працу па наладжванні і нічога не змяняе ў падсправаздачнасці па кожнай прыладзе. Агульная ідэнтычнасць згортвае ўсе прылады ў адну адклікальную адзінку: адклікаць адну — значыць адклікаць усе, а аўтарызацыя замены аўтарызуе кожную копію ключа, калі-небудзь створаную. Гэты кампраміс варта рабіць свядома, а не праз капіраванне файла таму, што так хутчэй у пятніцу пасля абеду.

Калі другі сертыфікат каштуе занадта дорага

Рэгістрацыя па прыладзе каштуе аднаго кроку: кіраванае карыснае навантажэнне, запыт SCEP або кіраваны імпарт з аднаразовым паролем. Яна таксама патрабуе месца для адсочвання серыйных нумароў і дат заканчэння, а гэта тое, што большасць разгортванняў забывае, пакуль першы сертыфікат не скончыцца. Абодва выдаткі аднаразовыя, і абодва змяншаюцца, як толькі працэс рэгістрацыі іх аўтаматызуе.

Кошт рэальны для сям'і з двума планшэтамі і адным карыстальнікам, дзе агульная ідэнтычнасць — разумнае рашэнне, апісанае адным сказам. Яно не разумнае для сэрвісу, дзе доступ трэба адклікаць па чалавеку або па прыладзе, бо гісторыя адклікання — гэта ўся прычына выкарыстоўваць сертыфікаты замест пароля. Ацэньвайце разгортванне па тым, як часта прылады мяняюць гаспадароў, а не па тым, колькі прылад ёсць сёння.

Рэгіструйце прыладу, не капіруйце ключ

Сучасныя платформы трымаюць прыватныя ключы ў абароненым сховішчы, а некаторыя пазначаюць іх як неэкспартуемыя па задуме. Менавіта гэтая ўласцівасць робіць капіраванне немагчымым у прынцыпе, і яна ж тлумачыць, чаму экспартаваны пакет з ноўтбука нельга проста імпартаваць на планшэт ні адным падтрыманым спосабам. Спроба зрабіць гэта ўсё роўна дае профіль, які чыста ўсталёўваецца і потым ніколі не аўтэнтыфікуецца.

Выкарыстоўвайце метад рэгістрацыі, які разгортванне ўжо падтрымлівае: кіраванае карыснае навантажэнне ідэнтычнасці, службу SCEP або працэс на аснове ўліковага запісу, які выдае новы ключ на прыладзе. Раздача прыватнага ключа цэнтра сертыфікацыі, каб вырашыць праблему адсутнай ідэнтычнасці, — іншая памылка з куды большай зонай паражэння. Цэнтр выдае ўліковыя даныя і ніколі не павінен трапляць на канчатковы пункт.

Праверце адкліканне, перш чым адказваць

Перш чым выбраць агульны варыянт, апішыце, як выглядае адкліканне ў найгоршы дзень. Калі адказ — адно дзеянне, якое закранае некалькі прылад, дызайн ужо вырашыў супраць вас.

openssl pkcs12 -in client.p12 -info -noout
openssl x509 -in client.pem -noout -subject -issuer -serial -dates
openssl verify -CAfile ca.pem client.pem

Агледзьце матэрыял, які вы сапраўды трымаеце: ці ёсць прыватны ключ, што гаворыць суб'ект і ці можна адклікаць серыйны нумар асобна. Файл сертыфіката без ключа не можа нічога аўтэнтыфікаваць, і менавіта таму некаторыя скапіяваныя ідэнтычнасці не праходзяць пры першым падключэнні.

Выдаленне праграмы з планшэта — не адкліканне, і сервер працягвае прымаць ідэнтычнасць, пакуль нехта яе не адключыць. Запішыце гэты сказ у інструкцыю, перш чым рэгістраваць першую прыладу.