Ці можа iPhone пераняць профіль OpenVPN ад вашага Mac?

Адно працоўнае злучэнне на Mac не з'яўляецца шаблонам для тэлефона, нават калі абодва выкарыстоўваюць той жа ўліковы запіс і той жа сервер. Профіль Mac можа трымаць сертыфікаты ў асобных файлах, выкарыстоўваць дырэктывы, якія маюць сэнс толькі на працоўным стале, і абапірацца на ідэнтычнасць, якую аператар выдаў толькі для гэтай машыны. Тэлефону патрэбны свой пакет, свая ідэнтычнасць і свой шлях імпарту. Аддзяленне пытання палітыкі ад пытання ўпакоўкі — гэта большая частка працы.

Спытайце ў аператара дзве рэчы, перш чым нешта капіяваць: ці можа ўліковы запіс працаваць на некалькіх прыладах і ці павінен тэлефон атрымаць свой сертыфікат.

Паўторнае выкарыстанне — спачатку пытанне палітыкі, а потым тэхнікі

Кліенцкі сертыфікат — гэта ідэнтычнасць, а змяшчэнне адной ідэнтычнасці на дзве прылады азначае, што сервер не можа адрозніць іх у журналах, у правілах доступу ці пры адкліканні. Некаторыя разгортванні гэта прымаюць і яўна дазваляюць дублікаты агульных імёнаў; большасць не робіць гэтага, і другая прылада альбо атрымлівае адмову, альбо адключае першую. Агульнае імя карыстальніка і пароль не робяць агульны сертыфікат мэтазгодным. Атрымайце адказ аператара ў пісьмовым выглядзе, перш чым планаваць любое перанясенне.

Бок аўдыту не менш важны. Калі тэлефон згубіцца, адкліканне сертыфіката, які выкарыстоўвае і Mac, адключыць абедзве прылады, а калі пакінуць яго сапраўдным, тэлефон застанецца з працоўным доступам да VPN. Сертыфікат на кожную прыладу ператварае рэакцыю на страту ў адно адкліканне, і менавіта таму існуе дадатковы крок рэгістрацыі.

Профіль Mac і профіль тэлефона адрозніваюцца на практыцы

На працоўным стале файл .ovpn можа ляжаць побач з CA, сертыфікатам і ключом у асобных файлах, і ён можа несці хукі, скрыпты і шляхі, якія маюць сэнс толькі ў гэтай аперацыйнай сістэме. Мабільны кліент звычайна хоча гэтыя часткі ўбудаванымі або перададзенымі праз пакет PKCS#12 з паролем, і ён ігнаруе або адхіляе дырэктывы, якія не можа выканаць. Капіяванне файла Mac часта дае імпарт, які не ўдаецца, або такі, што падключаецца з паловай адсутных параметраў. Рашэнне — гэта пакет для мабільных прылад, які падтрымлівае аператар, а не файл, адрэдагаваны ўручную з выдаленнем нязручных радкоў.

Стаўцеся да любога файла з прыватным ключом як да ўліковых даных, а не як да канфігурацыі. Менавіта таму загрузкі профіляў ідуць праз абароненыя каналы, а копія, пакінутая ў чаце або ў папцы загрузак, — гэта жывы сакрэт з прыветным імем файла.

Імпартуйце праз уласны шлях тэлефона

Усталюйце афіцыйнае прыкладанне OpenVPN Connect, затым унясіце профіль праз яго шлях імпарту — як файл або як URL злучэння, які прадаставіў аператар. На некіраваным тэлефоне прыкладанне запытвае дазвол на даданне канфігурацыі VPN, і гэта ўласны крок пацверджання сістэмы. Выконвайце запыты ўліковага запісу і MFA так, як яны з'яўляюцца, замест таго каб загадзя запоўніць значэнні, узятыя з Mac. Калі імпарт паспяховы, а злучэння няма, праблема ў змесце профілю, а не ў перанясенні.

На кіраваным тэлефоне адміністратар можа абмежаваць імпарт або рэдагаванне профілю праз канал кіравання мабільнымі прыладамі. Абмежаванае прыкладанне — не галаваломка, якую трэба пераадолець; выкарыстоўвайце шлях рэгістрацыі адміністратара, бо гэты ж шлях вызначае, што адбудзецца пры замене тэлефона.

Дакажыце працу тэлефона незалежна

Адкрыйце прыватны рэсурс з тэлефона на мабільных даных з выключаным Wi-Fi, каб запыт не мог ціха пайсці іншым шляхам. Тое, што Mac застаецца падключаным, нічога не даказвае пра маршруты, DNS або прыём уліковых даных тэлефона. Затым параўнайце дзве прылады: унутранае імя хоста, якое развязаецца на Mac і не развязаецца на тэлефоне, паказвае на налады DNS, якія адрозніваюцца паміж пакетамі. Запішыце імя профілю, ідэнтычнасць прылады і таго, хто яе зарэгістраваў.

Калі нешта не ўдаецца, захавайце дакладнае паведамленне і версію прыкладання. Памылка імпарту і памылка злучэння паходзяць з розных узроўняў, і зліццё іх у адну справаздачу марнуе цэлы круг. Профіль, які чыста імпартуецца, даказвае толькі тое, што файл быў разабраны.

Пасля рэгістрацыі выдаліце копіі для перанясення ў адпаведнасці з вашай палітыкай захавання і задакументуйце шлях паўторнай рэгістрацыі. Тэлефон на замену павінен атрымаць новую ідэнтычнасць, а не копію старой.