Pot un iPhone reutilitzar el perfil OpenVPN del teu Mac?

Una connexió de Mac que funciona no és una plantilla per a un telèfon, encara que tots dos facin servir el mateix compte i el mateix servidor. El perfil de Mac pot guardar certificats en fitxers separats, fer servir directrius que només tenen sentit en un escriptori i dependre d’una identitat que l’operador va emetre només per a aquella màquina. Un telèfon necessita el seu propi paquet, la seva pròpia identitat i la seva pròpia ruta d’importació. Separar la qüestió de política de la qüestió d’empaquetatge és la major part de la feina.

Pregunteu a l’operador dues coses abans de copiar res: si el compte pot funcionar en més d’un dispositiu i si el telèfon ha de rebre el seu propi certificat.

La reutilització és primer una qüestió de política, després tècnica

Un certificat de client és una identitat, i posar una identitat en dos dispositius vol dir que el servidor no els pot distingir en els registres, en les regles d’accés ni en una revocació. Alguns desplegaments ho accepten i habiliten explícitament noms comuns duplicats; la majoria no ho fan, i el segon dispositiu o bé es rebutja o bé deixa el primer fora de línia. Un nom d’usuari i una contrasenya compartits no fan adequat un certificat compartit. Obteniu la resposta de l’operador per escrit abans de planificar qualsevol transferència.

El costat de l’auditoria importa igual. Si es perd el telèfon, revocar un certificat que el Mac també fa servir desconnecta tots dos dispositius, i deixar-lo vàlid deixa un telèfon amb accés VPN funcionant. Un certificat per dispositiu converteix la resposta a la pèrdua en una sola revocació, i és exactament per això que existeix el pas extra d’inscripció.

El perfil de Mac i el perfil del telèfon difereixen a la pràctica

En un escriptori, un fitxer .ovpn pot seure al costat d’una CA, un certificat i una clau en fitxers separats, i pot portar hooks, scripts i rutes que només tenen sentit en aquell sistema operatiu. Un client mòbil normalment vol aquestes peces en línia o subministrades mitjançant un paquet PKCS#12 amb contrasenya, i ignora o rebutja les directrius que no pot complir. Copiar el fitxer del Mac sovint produeix una importació que falla, o una que es connecta amb la meitat de les opcions perdudes. La solució és un paquet mòbil mantingut per l’operador, no un fitxer editat a mà amb les línies incòmodes esborrades.

Tracteu qualsevol fitxer que contingui una clau privada com una credencial i no com una configuració. Les descàrregues de perfils viatgen per canals protegits per aquest motiu, i una còpia que queda en un fil de xat o en una carpeta de descàrregues és un secret viu amb un nom de fitxer amable.

Importeu pel flux del propi telèfon

Instal·leu l’aplicació oficial OpenVPN Connect i després introduïu el perfil pel seu flux d’importació, ja sigui com a fitxer o com a URL de connexió que proporcioni l’operador. En un telèfon no gestionat, l’aplicació demana permís per afegir una configuració de VPN, que és el pas de confirmació del propi sistema. Seguiu les indicacions de compte i MFA tal com apareixen en lloc d’emplenar valors manllevats del Mac. Si la importació té èxit i la connexió no, el problema és al contingut del perfil, no a la transferència.

En un telèfon gestionat, l’administrador pot restringir la importació o l’edició del perfil mitjançant el canal de gestió de dispositius mòbils. Una aplicació restringida no és un trencaclosques que calgui vèncer; feu servir la ruta d’inscripció de l’administrador, perquè aquesta ruta també determina què passa quan es substitueix el telèfon.

Demostreu el telèfon de manera independent

Obriu un recurs privat des del telèfon amb dades mòbils i el Wi-Fi desactivat, perquè la petició no pugui agafar silenciosament una altra ruta. Que el Mac segueixi connectat no demostra res sobre les rutes, el DNS o l’acceptació de credencials del telèfon. Després compareu els dos dispositius: un nom d’amfitrió intern que es resol al Mac i falla al telèfon apunta a configuracions de DNS que difereixen entre els paquets. Anoteu el nom del perfil, la identitat del dispositiu i qui el va inscriure.

Quan alguna cosa falli, conserveu el missatge exacte i la versió de l’aplicació. Un error d’importació i un error de connexió vénen de capes diferents, i fusionar-los en un sol informe malbarata una ronda. Un perfil que s’importa netament només demostra que el fitxer s’ha analitzat.

Després de la inscripció, suprimiu les còpies de transferència segons la vostra política de retenció i documenteu una ruta de reinscripció. Un telèfon de substitució ha de rebre una identitat nova, no una còpia de l’antiga.