Изпратихте един VPN профил на всички и той съдържа вашата парола

Профилът се инсталира чисто, всички се свързват и след това паролата на акаунта се сменя. Всяко устройство, получило файла, спира да се удостоверява в същата минута, защото всички носят една и съща тайна. Това е сигналът: един идентификатор, копиран в споделен артефакт, превръща рутинната смяна на парола в прекъсване за целия парк. Запазването на многократно използваемата конфигурация и индивидуалната идентичност като две отделни предавания избягва това, а собствената на Apple документация за управление на устройства разглежда профилите като настройки и оторизация, а не като хранилище на тайни.

Симптомът се появява при първата ротация

Файлът mobileconfig е XML или подписан plist. Всеки, който има копие, може да декодира полезния товар и да прочете какво има в него, така че стойност AuthPassword в шаблон е идентификатор в открит текст с необичайно файлово разширение. Подписът променя целостта и произхода, не четливостта. Междувременно частите, които наистина искате да споделите, като адреса на шлюза, очакваната идентичност на сървъра и политиката за трафик, са еднакви за всички.

Сортирайте полетата, преди да редактирате каквото и да е, защото границата не е там, където хората предполагат.

Отделете споделените настройки от индивидуалните идентификатори

Интерактивният път е да оставите паролата навън и да позволите на поддържаната схема за удостоверяване да я поиска. Прочетете това внимателно: изтриването на поле, което само изглежда подобно, не е универсално преобразуване към интерактивен вход. Полезният товар на IKEv2 различава AuthName от AuthPassword, и методът за удостоверяване решава дали подкана изобщо е достъпна; метод, базиран на сертификат, няма да поиска парола изобщо.

Сертификатите също не се нуждаят от споделен ключ

Ако шлюзът очаква удостоверяване със сертификат, регистрирайте предвидената идентичност на потребител или устройство чрез одобрения механизъм и дръжте частния ключ извън шаблона. Един споделен частен ключ във всяко копие ви дава същия проблем с ротацията с по-лош обхват на поражение, защото ключ не може да бъде отменен за отделен човек, освен ако не е издаден за отделен човек.

Записвайте издаването, подновяването и отмяната за тази идентичност заедно с ревизията на профила. Когато двете се проследяват заедно, подновяването е планирана задача, а не инцидент.

Автоматичните машини се нуждаят от трети отговор

Машина, която трябва да се свърже, преди някой да влезе, не може да отговори на подкана. Това е различно изискване от това да направите настройката по-лесна за влезнал потребител и трябва да се реши с управлявана идентичност или сертификат за всяко устройство, договорен със собственика на шлюза, а не чрез съхраняване на човешка парола в профил.

Съхраняването на парола също не премахва втори фактор. Ако шлюзът изисква MFA, профил със запазена парола все още се проваля при зареждане и провалът изглежда като счупен профил, а не като липсващ фактор.

Проверете артефакта, който действително е генериран

Шаблоните лъжат чрез пропуск. Услуга за управление или инструмент за експорт може да вмъкне идентификатори в готовия файл, а придружаващите идентичностни товари или диагностични копия могат да носят материал, който шаблонът никога не е показвал. Отворете генерирания артефакт, преди да решите кой може да го получи. Запазете и настройките за доверен издател и очаквана идентичност на сървъра; премахването на парола не е причина да отслабите доверието към шлюза.

Ако реална парола или частна идентичност вече са се разпространили твърде широко, отменете ги при издателя и ги заменете. Редактирането на утрешния шаблон не прави нищо за вече инсталираните копия и те ще продължат да се удостоверяват, докато идентификаторът зад тях не бъде оттеглен.

Приемете предаването с тестова идентичност

Инсталирайте през одобрения поток на устройство, регистрирано като отделна тестова идентичност, завършете предвиденото удостоверяване и достигнете до частния ресурс, вместо само да гледате как тунелът се вдига. Потвърдете, че профилът не съдържа материал за идентификатори, след което потвърдете, че идентификаторът съществува в записа за идентичност, който ще бъде подновен. Тази двойка е приемният тест.

Една ревизия за споделените настройки, един запис на човек и път за отмяна, който наистина сте използвали веднъж.