Poslali jste jeden profil VPN všem a obsahuje vaše heslo

Profil se nainstaluje čistě, všichni se připojí a pak se otočí heslo účtu. Každé zařízení, které soubor dostalo, přestane v tu samou minutu autentizovat, protože všechna nesou stejné tajemství. To je ten signál: jeden údaj zkopírovaný do sdíleného artefaktu promění rutinní změnu hesla ve výpadek celé flotily. Zachování znovupoužitelné konfigurace a individuální identity jako dvou oddělených předání tomu zabrání a vlastní dokumentace Applu pro správu zařízení pojímá profily jako nastavení a autorizaci, nikoli jako úložiště tajemství.

Příznak se objeví při první rotaci

Soubor mobileconfig je XML nebo podepsaný plist. Kdokoli, kdo má kopii, může dekódovat obsah a přečíst, co v něm je, takže hodnota AuthPassword v šabloně je údaj v otevřeném textu s neobvyklou příponou souboru. Podpis mění integritu a původ, ne čitelnost. Mezitím části, které opravdu chcete sdílet, jako adresa brány, očekávaná identita serveru a zásady provozu, jsou pro všechny stejné.

Než cokoli upravíte, roztřiďte pole, protože hranice není tam, kde si lidé myslí.

Oddělte sdílená nastavení od individuálních údajů

Interaktivní cesta je nechat heslo venku a nechat podporované schéma ověřování, aby si o něj řeklo. Čtěte to pozorně: smazání pole, které se jen podobá, není univerzální převod na interaktivní přihlášení. Obsah IKEv2 rozlišuje AuthName od AuthPassword, a metoda ověřování rozhoduje, zda je výzva vůbec dosažitelná; metoda založená na certifikátu heslo vůbec nevyžádá.

Certifikáty také nepotřebují sdílený klíč

Pokud brána očekává ověřování certifikátem, zaregistrujte zamýšlenou identitu uživatele nebo zařízení schváleným mechanismem a držte soukromý klíč mimo šablonu. Jeden sdílený soukromý klíč v každé kopii vám dá stejný problém rotace s horším dopadem, protože klíč nelze zrušit po osobě, pokud nebyl po osobě vydán.

Zaznamenávejte vydání, obnovu a odvolání této identity spolu s revizí profilu. Když se obojí sleduje společně, obnova je plánovaný úkol, ne incident.

Stroje bez obsluhy potřebují třetí odpověď

Stroj, který se musí připojit dřív, než se někdo přihlásí, nemůže odpovědět na výzvu. To je jiný požadavek než usnadnit nastavení přihlášenému člověku, a měl by se řešit spravovanou identitou nebo certifikátem pro každé zařízení dohodnutým s vlastníkem brány, ne ukládáním lidského hesla do profilu.

Uložení hesla také neodstraní druhý faktor. Pokud brána vyžaduje MFA, profil s uloženým heslem při startu stále selže a selhání vypadá jako rozbitý profil, ne jako chybějící faktor.

Zkontrolujte artefakt, který byl skutečně vygenerován

Šablony lžou mlčením. Služba správy nebo exportní nástroj může do hotového souboru vložit údaje a doprovodné identity či diagnostické kopie mohou nést materiál, který šablona nikdy neukázala. Otevřete vygenerovaný artefakt, než rozhodnete, kdo ho smí dostat. Zachovejte také nastavení důvěryhodného vydavatele a očekávané identity serveru; odstranění hesla není důvod oslabovat důvěru v bránu.

Pokud skutečné heslo nebo soukromá identita už putovaly příliš široko, odvolejte je u vydavatele a nahraďte. Úprava zítřejší šablony nic neudělá s už nainstalovanými kopiemi a ty budou dál autentizovat, dokud se údaj za nimi neodebere.

Převezměte předání s testovací identitou

Nainstalujte přes schválený postup na zařízení zaregistrovaném jako samostatná testovací identita, dokončete zamýšlené ověření a dostanete se k soukromému zdroji, místo abyste jen sledovali, jak tunel naskočí. Potvrďte, že profil neobsahuje žádný materiál údajů, a pak potvrďte, že údaj existuje v záznamu identity, který bude obnoven. Tato dvojice je akceptační test.

Jedna revize pro sdílená nastavení, jeden záznam na osobu a cesta odvolání, kterou jste skutečně jednou použili.