VPN на iPad без подкани за парола: сертификати или запазен вход
Запазена парола и сертификат на устройството премахват подканата по различен начин. Сравнете ги и след това решете отделно какво отваря тунела.
„Спрете да ме питате за парола“ всъщност обединява три изисквания в едно оплакване, а внедряването на iPad отговаря на тях на различни места. Подканата идва от удостоверяването, моментът от активирането, а покритието от налагането. Първо изберете данните за вход, които премахват подканата, а след това отделно решете какво определя кога се отваря тунелът. Смесването на двете решения е точно причината запазена парола да попадне в профил, който все още чака докосване.
| Saved or shared secret | Device certificate | |
|---|---|---|
| What the user sees | no prompt while the credential stays valid | no prompt, no password to rotate |
| What the admin manages | the secret in the profile and its distribution | enrollment, expiry and revocation per device |
| Typical failure | gateway demands a second factor | expired or revoked certificate |
Два проблема в едно оплакване
Вградена конфигурация IKEv2 на iPad може да сочи към парола или към сертификат, а ключът AuthenticationMethod решава кое от двете важи, докато PayloadCertificateUUID именува данните за вход, които дават идентичността. Кое от тях ще приеме шлюзът е въпрос на сървърна политика, а не на предпочитание на клиента. Затова първо трябва да се установи какво позволява VPN услугата, защото iPad не може да се договори за метод, който другата страна отказва.
Едва след това има смисъл да се говори за това кога се активира тунелът, а това е съвсем друг набор от ключове на профила.
Първи вариант: данни за вход, които iPad може да използва отново
Запазена парола на акаунт или споделена тайна удовлетворява шлюз, който удостоверява потребителя или групата, и премахва подканата, докато тайната остава валидна. Слабостта е жизненият цикъл: тайната стои в профила, няколко устройства могат да я споделят, а смяната означава да се пипне всеки профил, който я носи. Ако услугата изисква и еднократен фактор или интерактивно одобрение, никоя локална настройка не превръща тази политика в вход без надзор.
Парола, запазена от едно приложение, също не е автоматично достъпна за друга реализация на VPN, поради което един и същ акаунт може да спре да пита в един клиент и да пита всеки път в друг.
Втори вариант: сертификат на устройството със собствен ключ
Сертификатът премахва подканата по-сигурно, защото iPad доказва притежание на частен ключ, вместо да повтаря тайна. Това изисква крайният сертификат и неговият ключ да дойдат по одобрения път за записване и шлюзът да приеме удостоверяване със сертификат за тази връзка. Импортирането само на CA сертификат дава на устройството доверителен материал и нищо друго, което е честа и тиха грешка.
Цената е работа по жизнения цикъл. Всеки iPad получава собствена идентичност, за да може изгубено устройство да бъде отменено без преиздаване на цялата флота, а датите на изтичане стават реални оперативни събития. Сертификат, който тихо изтича, изглежда точно като прекъсване на VPN онази сутрин, в която се случи.
Избирайте според това, което шлюзът приема, а не според предпочитанията
Задайте на VPN администратора два въпроса: кои методи за удостоверяване услугата приема за този тип клиент и дали някой от тях изисква интерактивно въвеждане. Ако отговорът е само сертификат, планирайте записване и подновяване. Ако отговорът е парола плюс втори фактор, приемете, че подканата е политика, и спрете да я третирате като дефект на устройството. Ако са приети и двата, сертификатът печели по жизнен цикъл за наблюдавана флота, а паролата по усилие при настройка за няколко устройства.
Запишете избрания метод в записа за внедряване до идентификатора на профила, защото иначе следващият човек, който пипне профила, ще избере другия.
След това отделете активирането от удостоверяването
VPN On Demand отваря тунела, когато съвпадне конфигурирано условие, било то DNS домейн, тип интерфейс или присъединена мрежа, и Apple го документира като неизискващо взаимодействие от потребителя. Това пасва добре на частни ресурси, които трябва да станат достъпни само когато нещо ги поиска. Не е същото като управляван Always On, който държи покритието наложено и носи собствени изисквания за надзор и профил.
Работещите данни за вход не помагат в нито един от двата случая. Много iPad устройства имат напълно добър сертификат и все пак чакат ръчно докосване, защото никога не се е задействало правило при поискване.
Предайте изискването във форма, по която администраторът може да действа: този iPad трябва да достига тези ресурси без повтарящо се потребителско въвеждане, с този тип данни за вход и при тези правила за активиране и прекъсване. Ако настоящата услуга не може да изпълни тези условия, повтарящите се подкани са политиката, работеща както е замислена.