Може ли VPN профил да инсталира сертификат на устройството ви?

VPN профилът може да носи сертификати и точно това изречение е началото на повечето объркване. Какво носи и на какво се доверява са два различни въпроса, на които отговарят два различни механизма. Вграден CA, който един клиент използва, за да проверява сървър, не е същият обект като корен, на който се доверява цялата операционна система. Сравнете двете, преди да решите, че пакетът е рутинен.

Отговорът на въпроса от заглавието е да, но с обхват, който трябва да проверите.

Какво може да носи VPN профилът

Профил на OpenVPN може да съдържа CA сертификата, клиентския сертификат и клиентския ключ вградени между техните тагове, така че клиентът да ги чете от самия профил. Този материал се използва за проверка и удостоверяване в рамките на този един клиент. Той не влиза в системното хранилище за доверие само защото е във файла.

Конфигурационният профил на платформата е различен контейнер. Той може да носи полезен товар със сертификат до управляваните настройки: Wi-Fi, VPN, ограничения, а при управлявани внедрявания — много повече. Инсталирането предава тези настройки на операционната система, а не на едно приложение. Това е смисълът на формата и затова обхватът има значение.

Доверие в обхвата на клиента срещу доверие на платформата

Доверието в обхвата на клиента е ограничено от клиента. Ако CA в профила е грешен, този тунел се проваля, а другите приложения остават незасегнати. Доверието на платформата не е ограничено от нищо конкретно, защото всяко приложение, което използва системното хранилище, наследява решението.

На платформите на Apple това са видимо отделни стъпки.

Инсталирането на изтеглен профил и включването на доверие за сертификат са различни действия, а второто има собствен контрол в настройките за доверие на сертификати. Управляваното внедряване може да се различава от ръчната инсталация, включително дали профилът може да бъде премахнат изобщо. Следвайте актуалната документация на платформата за вашата версия. Подкана, която изглежда част от настройката на VPN, може да е самото решение за доверие.

Защо разликата променя отговора ви

Ако някой попита дали профилът инсталира сертификат, полезният отговор назовава обхвата. VPN профил със собствен CA променя какво този клиент приема. Профил, който инсталира сертификат и има включено доверие, променя какво устройството приема. Само второто може да засегне банков сайт в браузър, който никога не докосва тунела.

Това е цялото сравнение и си струва да се каже ясно преди всяко одобрение.

Какво да попитате преди одобрение

Попитайте коя функция се нуждае от сертификата и какво се чупи без него. Попитайте кой го е издал и какво трябва да удостоверява. Попитайте как се премахва и дали премахването изобщо е достъпно за вас при използвания метод на внедряване. Питайте през истинския канал на оператора, а не през страницата, която е предложила изтеглянето.

Страница за изтегляне, която нарича пакета ремонт на VPN, не ви е казала нищо за обхвата.

Отказът от неочакван корен не е параноя; това е същото решение, което браузърът взема, когато показва предупреждение за сертификат. Разликата е, че това остава и може да не попита отново.

Как изглежда премахването в действителност

Изтриването на изтегления файл не премахва инсталиран профил или неговия сертификат. Профилът живее в настройките за управление на устройството, докато не бъде премахнат там, а наблюдавано или управлявано устройство може да откаже. Проверете състоянието на инсталацията след всяка одобрена промяна и потвърдете, че сертификатът е изчезнал, вместо да предполагате, че файлът е бил артефактът. След това се свържете отново и вижте дали тунелът още работи, защото премахването на CA при запазен профил е отделен режим на отказ.

Пазете запис за издателя, целта, обхвата и пътя за премахване.

Този запис е по-полезен от работеща икона на VPN, защото остава за следващия човек, който трябва да реши дали да одобри същата подкана на друго устройство.