VPN na iPadu bez upita za lozinku: certifikati ili spremljena prijava
Spremljena lozinka i certifikat uređaja uklanjaju upit na različite načine. Usporedite ih i zatim odvojeno odlučite što otvara tunel.
„Prestanite me pitati za lozinku“ zapravo spaja tri zahtjeva u jednu pritužbu, a uvođenje na iPadu odgovara na njih na različitim mjestima. Upit dolazi iz provjere autentičnosti, trenutak iz aktivacije, a pokrivenost iz provedbe. Najprije odaberite vjerodajnicu koja uklanja upit, a zatim odvojeno odlučite što određuje kada se tunel otvara. Miješanje tih dviju odluka upravo je razlog zašto spremljena lozinka završi u profilu koji još uvijek čeka dodir.
| Saved or shared secret | Device certificate | |
|---|---|---|
| What the user sees | no prompt while the credential stays valid | no prompt, no password to rotate |
| What the admin manages | the secret in the profile and its distribution | enrollment, expiry and revocation per device |
| Typical failure | gateway demands a second factor | expired or revoked certificate |
Dva problema u jednoj pritužbi
Izvorna konfiguracija IKEv2 na iPadu može se pozvati na lozinku ili certifikat, a ključ AuthenticationMethod odlučuje koje od toga vrijedi, dok PayloadCertificateUUID imenuje vjerodajnicu koja daje identitet. Koje će od toga pristupnik prihvatiti pitanje je poslužiteljske politike, a ne sklonosti klijenta. Zato najprije treba utvrditi što VPN usluga dopušta, jer se iPad ne može izboriti za metodu koju druga strana odbija.
Tek nakon toga ima smisla govoriti o tome kada se tunel aktivira, a to je posve drugi skup ključeva profila.
Prva opcija: vjerodajnica koju iPad može ponovno upotrijebiti
Spremljena lozinka računa ili zajednička tajna zadovoljava pristupnik koji provjerava korisnika ili grupu i uklanja upit dokle god tajna ostaje valjana. Slabost je životni ciklus: tajna stoji u profilu, nekoliko je uređaja može dijeliti, a rotacija znači dirati svaki profil koji je nosi. Ako usluga traži i jednokratni faktor ili interaktivno odobrenje, nijedna lokalna postavka tu politiku ne pretvara u prijavu bez nadzora.
Lozinka koju spremi jedna aplikacija također nije automatski dostupna drugoj implementaciji VPN-a, zbog čega isti račun može prestati pitati u jednom klijentu, a u drugom pitati svaki put.
Druga opcija: certifikat uređaja s vlastitim ključem
Certifikat uklanja upit na jači način, jer iPad dokazuje posjedovanje privatnog ključa umjesto da ponovi tajnu. To zahtijeva da lisni certifikat i njegov ključ stignu odobrenim putem upisa i da pristupnik za tu vezu prihvati provjeru autentičnosti certifikatom. Uvoz samo CA certifikata daje uređaju materijal povjerenja i ništa više, što je česta i tiha pogreška.
Cijena je rad na životnom ciklusu. Svaki iPad dobiva vlastiti identitet kako bi se izgubljeni uređaj mogao opozvati bez ponovnog izdavanja cijele flote, a datumi isteka postaju stvarni operativni događaji. Certifikat koji tiho istekne izgleda točno kao ispad VPN-a onog jutra kada se to dogodi.
Odaberite prema onome što pristupnik prihvaća, a ne prema sklonosti
Postavite VPN administratoru dva pitanja: koje metode provjere autentičnosti usluga prihvaća za ovu vrstu klijenta i zahtijeva li neka od njih interaktivni unos. Ako je odgovor samo certifikat, planirajte upis i obnovu. Ako je odgovor lozinka plus drugi faktor, prihvatite da je upit politika i prestanite ga tretirati kao kvar uređaja. Ako su prihvaćena oba, certifikat pobjeđuje u životnom ciklusu za nadziranu flotu, a lozinka u trudu oko postavljanja za nekolicinu uređaja.
Upišite odabranu metodu u zapis o uvođenju uz identifikator profila, jer će inače sljedeća osoba koja dira profil odabrati drugu.
Zatim odvojite aktivaciju od provjere autentičnosti
VPN On Demand otvara tunel kada se ispuni konfigurirani uvjet, bio to DNS područje, vrsta sučelja ili pridružena mreža, a Apple to dokumentira kao nešto što ne zahtijeva korisničku interakciju. To dobro odgovara privatnim resursima koji trebaju postati dostupni samo kada ih nešto zatraži. Nije isto što i upravljani Always On, koji drži pokrivenost provedenom i nosi vlastite zahtjeve za nadzor i profil.
Ispravna vjerodajnica ne pomaže ni u jednom od tih slučajeva. Mnogi iPadi imaju posve dobar certifikat i ipak čekaju ručni dodir jer se nikada nije aktiviralo nijedno pravilo na zahtjev.
Predajte zahtjev u obliku na koji administrator može djelovati: ovaj iPad treba dosegnuti te resurse bez ponavljajućeg korisničkog unosa, s ovom vrstom vjerodajnice i prema tim pravilima aktivacije i ispada. Ako sadašnja usluga ne može ispuniti te uvjete, ponavljajući upiti su politika koja radi kako je zamišljena.