VPN ar iPad heb ofyn am gyfrinair: tystysgrifau neu fewngofnodiad wedi'i gadw

Mae «Stopiwch ofyn i mi am gyfrinair» mewn gwirionedd yn crynhoi tri gofyn mewn un gŵyn, ac mae defnydd ar iPad yn eu hateb mewn gwahanol leoedd. Daw'r cais o ddilysu, daw'r amseru o actifadu a daw'r sylw o orfodi. Dewiswch yn gyntaf y cymwyster sy'n dileu'r cais, yna penderfynwch ar wahân beth sy'n pennu pryd y mae'r twnnel yn agor. Cymysgu'r ddau benderfyniad yw'r union reswm y mae cyfrinair wedi'i gadw yn aros ar broffil sy'n dal i aros am dap.

Dau broblem mewn un gŵyn

Gall cyfluniad IKEv2 brodorol ar iPad gyfeirio at gyfrinair neu dystysgrif, ac mae'r allwedd AuthenticationMethod yn penderfynu pa un sy'n berthnasol, tra bod PayloadCertificateUUID yn enwi'r cymwyster sy'n darparu'r hunaniaeth. Cwestiwn o bolisi gweinydd yw pa un y bydd y porth yn ei dderbyn, nid dymuniad cleient. Felly'r peth cyntaf i'w sefydlu yw'r hyn y mae'r gwasanaeth VPN yn ei ganiatáu, oherwydd ni all iPad drafod ei ffordd at ddull y mae'r ochr arall yn ei wrthod.

Dim ond wedyn y mae'n gwneud synnwyr siarad am bryd y mae'r twnnel yn actifadu, sef set hollol wahanol o allweddi proffil.

Opsiwn un: cymwyster y gall yr iPad ei ailddefnyddio

Mae cyfrinair cyfrif wedi'i gadw neu gyfrinach a rennir yn bodloni porth sy'n dilysu'r defnyddiwr neu'r grŵp, ac mae'n dileu'r cais cyhyd ag y bydd y gyfrinach yn ddilys. Ei wendid yw'r cylch bywyd: mae'r gyfrinach yn y proffil, gall sawl dyfais ei rhannu, ac mae ei throi yn golygu cyffwrdd â phob proffil sy'n ei chario. Os yw'r gwasanaeth hefyd yn mynnu ffactor unwaith neu gymeradwyaeth ryngweithiol, nid oes unrhyw osodiad lleol yn troi'r polisi hwnnw yn fewngofnodiad heb oruchwyliaeth.

Nid yw cyfrinair a gadwyd gan un ap ar gael yn awtomatig i weithrediad VPN arall chwaith, a dyna pam y gall yr un cyfrif roi'r gorau i ofyn mewn un cleient a gofyn bob tro mewn un arall.

Opsiwn dau: tystysgrif dyfais gyda'i allwedd ei hun

Mae tystysgrif yn dileu'r cais yn fwy cadarn, oherwydd mae'r iPad yn profi meddiant allwedd breifat yn hytrach na ailchwarae cyfrinach. Mae hynny'n gofyn i'r dystysgrif ddalen a'i hallwedd gyrraedd drwy'r llwybr cofrestru a gymeradwywyd, a bod y porth yn derbyn dilysu tystysgrif ar gyfer y cysylltiad hwnnw. Mae mewnforio tystysgrif CA yn unig yn rhoi deunydd ymddiriedaeth i'r ddyfais a dim arall, sy'n fethiant cyffredin ac yn ddistaw.

Y pris yw gwaith cylch bywyd. Mae pob iPad yn cael ei hunaniaeth ei hun fel y gellir dirymu dyfais goll heb ailddyroddi'r fflyd gyfan, ac mae dyddiadau dod i ben yn dod yn ddigwyddiadau gweithredol go iawn. Mae tystysgrif sy'n dod i ben yn ddistaw yn edrych yn union fel methiant VPN y bore y mae'n digwydd.

Dewiswch yn ôl yr hyn y mae'r porth yn ei dderbyn, nid yn ôl dymuniad

Gofynnwch ddau beth i weinyddwr VPN: pa ddulliau dilysu y mae'r gwasanaeth yn eu derbyn ar gyfer y math hwn o gleient, ac a oes angen mewnbwn rhyngweithiol ar unrhyw un ohonynt. Os mai tystysgrif yn unig yw'r ateb, cynlluniwch gofrestru ac adnewyddu. Os mai cyfrinair ynghyd ag ail ffactor yw'r ateb, derbyniwch mai polisi yw'r cais a pheidiwch â'i drin fel diffyg dyfais. Os derbynnir y ddau, mae'r dystysgrif yn ennill ar gylch bywyd ar gyfer fflyd a oruchwyliwyd a'r cyfrinair yn ennill ar ymdrech gosod ar gyfer ychydig o ddyfeisiau.

Ysgrifennwch y dull a ddewiswyd yn y cofnod defnyddio wrth ymyl dynodydd y proffil, oherwydd fel arall bydd y person nesaf sy'n cyffwrdd â'r proffil yn dewis y llall.

Yna gwahanwch actifadu oddi wrth ddilysu

Mae VPN On Demand yn agor y twnnel pan fydd amod a gyfluniwyd yn cyfateb, boed yn barth DNS, yn fath o ryngwyneb neu'n rhwydwaith a ymunwyd, ac mae Apple yn ei ddogfennu fel un nad yw'n gofyn am ryngweithio defnyddiwr. Mae hynny'n addas ar gyfer adnoddau preifat na ddylent fod yn hygyrch ond pan fydd rhywbeth yn gofyn amdanynt. Nid yw'r un peth ag Always On a reolir, sy'n cadw sylw dan orfodaeth ac yn dod â'i ofynion goruchwylio a phroffil ei hun.

Nid yw cymwyster sy'n gweithio yn gwneud dim i'r naill na'r llall. Mae gan lawer o iPads dystysgrif hollol dda ac maent yn dal i aros am dap â llaw oherwydd na chafodd unrhyw reol ar alw ei sbarduno erioed.

Trosglwyddwch y gofyn mewn ffurf y gall gweinyddwr weithredu arni: dylai'r iPad hwn gyrraedd yr adnoddau hyn heb fewnbwn defnyddiwr ailadroddus, gyda'r math hwn o gymwyster, a than y rheolau actifadu a methiant hyn. Os na all y gwasanaeth cyfredol fodloni'r amodau hynny, y caisau ailadroddus yw'r polisi sy'n gweithio fel y'i cynlluniwyd.