VPN na iPadu bez výzev k zadání hesla: certifikáty versus uložené přihlášení
Uložené heslo a certifikát zařízení odstraňují výzvu různými způsoby. Porovnejte je a pak samostatně rozhodněte, co tunel otevře.
„Přestaň se mě ptát na heslo“ ve skutečnosti shrnuje tři požadavky do jedné stížnosti a nasazení na iPadu na ně odpovídá na různých místech. Výzva pochází z ověřování, okamžik z aktivace a pokrytí z prosazování. Nejprve vyberte údaj, který výzvu odstraní, a potom samostatně rozhodněte, co určuje, kdy se tunel otevře. Míchání těchto dvou rozhodnutí je přesně to, jak skončíte s uloženým heslem v profilu, který přesto čeká na klepnutí.
| Saved or shared secret | Device certificate | |
|---|---|---|
| What the user sees | no prompt while the credential stays valid | no prompt, no password to rotate |
| What the admin manages | the secret in the profile and its distribution | enrollment, expiry and revocation per device |
| Typical failure | gateway demands a second factor | expired or revoked certificate |
Dva problémy v jedné stížnosti
Nativní konfigurace IKEv2 na iPadu může odkazovat na heslo nebo certifikát a klíč AuthenticationMethod rozhoduje, který z nich platí, zatímco PayloadCertificateUUID pojmenovává údaj, který dodává identitu. Který z nich brána přijme, je otázka politiky serveru, ne preference klienta. Nejprve je tedy třeba zjistit, co služba VPN povoluje, protože iPad se nedokáže vyjednat na metodu, kterou druhá strana odmítá.
Teprve potom má smysl mluvit o tom, kdy se tunel aktivuje, což je zcela jiná sada klíčů profilu.
Možnost jedna: údaj, který iPad může znovu použít
Uložené heslo účtu nebo sdílené tajemství uspokojí bránu, která ověřuje uživatele nebo skupinu, a odstraní výzvu, dokud tajemství zůstává platné. Jeho slabinou je životní cyklus: tajemství leží v profilu, může ho sdílet několik zařízení a jeho rotace znamená sáhnout na každý profil, který ho nese. Pokud služba navíc vyžaduje jednorázový faktor nebo interaktivní schválení, žádné místní nastavení z této politiky neudělá přihlášení bez dozoru.
Heslo uložené jednou aplikací také není automaticky dostupné jiné implementaci VPN, a proto stejný účet může přestat žádat v jednom klientu a v jiném se ptát pokaždé.
Možnost dvě: certifikát zařízení s vlastním klíčem
Certifikát odstraňuje výzvu silněji, protože iPad prokazuje držení soukromého klíče místo přehrání tajemství. To vyžaduje aby koncový certifikát a jeho klíč dorazily schválenou cestou registrace, a aby brána pro toto spojení přijala ověřování certifikátem. Import samotného certifikátu CA dá zařízení důvěryhodný materiál a nic víc, což je častá a tichá chyba.
Cenou je práce se životním cyklem. Každý iPad dostane vlastní identitu, takže ztracené zařízení lze odvolat bez opětovného vydání celé flotily, a data vypršení se stávají skutečnými provozními událostmi. Certifikát, který tiše vyprší, vypadá přesně jako výpadek VPN ráno, kdy k tomu dojde.
Vybírejte podle toho, co brána přijímá, ne podle preferencí
Položte správci VPN dvě otázky: které metody ověřování služba pro tento typ klienta přijímá a zda některá z nich vyžaduje interaktivní vstup. Pokud je odpověď pouze certifikát, naplánujte registraci a obnovu. Pokud je odpověď heslo plus druhý faktor, přijměte, že výzva je politika, a přestaňte ji považovat za závadu zařízení. Pokud jsou přijímány obě, certifikát vítězí v životním cyklu u sledované flotily a heslo v náročnosti nastavení u hrstky zařízení.
Zapište zvolenou metodu do záznamu o nasazení vedle identifikátoru profilu, protože jinak příští člověk, který na profil sáhne, zvolí tu druhou.
Potom oddělte aktivaci od ověřování
VPN On Demand otevírá tunel, když odpovídá nakonfigurovaná podmínka, ať už jde o doménu DNS, typ rozhraní nebo připojenou síť, a Apple to dokumentuje jako nevyžadující žádnou interakci uživatele. Hodí se to pro soukromé prostředky, které mají být dostupné jen tehdy, když o ně něco požádá. Není to totéž jako spravované Always On, které udržuje pokrytí prosazené a přináší vlastní požadavky na dohled a profil.
Fungující údaj pro ani jedno nic neudělá. Mnoho iPadů má zcela dobrý certifikát a přesto čeká na ruční klepnutí, protože se nikdy nespustilo žádné pravidlo na vyžádání.
Předejte požadavek ve formě, se kterou správce může pracovat: tento iPad má dosáhnout těchto prostředků bez opakovaného vstupu uživatele, s tímto typem údaje a podle těchto pravidel aktivace a výpadku. Pokud současná služba tyto podmínky nesplňuje, opakované výzvy jsou politika fungující podle návrhu.