VPN på iPad uden adgangskodeprompts: certifikater kontra gemt login
En gemt adgangskode og et enhedscertifikat fjerner prompten på hver sin måde. Sammenlign dem, og vælg derefter separat, hvad der åbner tunnelen.
»Hold op med at spørge mig om en adgangskode« er i virkeligheden tre krav samlet i én klage, og en iPad-udrulning besvarer dem forskellige steder. Prompten kommer fra godkendelsen, tidspunktet kommer fra aktiveringen, og dækningen kommer fra håndhævelsen. Vælg den legitimationsoplysning, der fjerner prompten, og vælg derefter separat, hvad der afgør, hvornår tunnelen åbner. At blande de to beslutninger er netop, hvordan man ender med en gemt adgangskode på en profil, der stadig venter på et tryk.
| Saved or shared secret | Device certificate | |
|---|---|---|
| What the user sees | no prompt while the credential stays valid | no prompt, no password to rotate |
| What the admin manages | the secret in the profile and its distribution | enrollment, expiry and revocation per device |
| Typical failure | gateway demands a second factor | expired or revoked certificate |
To problemer i én klage
En native IKEv2-konfiguration på iPad kan henvise til en adgangskode eller et certifikat, og nøglen AuthenticationMethod afgør, hvilken der gælder, mens PayloadCertificateUUID navngiver den legitimationsoplysning, der leverer identiteten. Hvilken af dem gatewayen accepterer, er et spørgsmål om serverpolitik og ikke om klientpræference. Det første, der skal fastslås, er derfor, hvad VPN-tjenesten tillader, for en iPad kan ikke forhandle sig frem til en metode, som den anden ende afviser.
Først derefter giver det mening at tale om, hvornår tunnelen aktiveres, for det er et helt andet sæt profilnøgler.
Mulighed et: en legitimationsoplysning, iPad'en kan genbruge
En gemt kontoadgangskode eller en delt hemmelighed opfylder en gateway, der godkender brugeren eller gruppen, og den fjerner prompten, så længe hemmeligheden er gyldig. Svagheden er livscyklussen: hemmeligheden ligger i profilen, flere enheder kan dele den, og rotation betyder, at hver profil, der bærer den, skal røres. Kræver tjenesten også en engangsfaktor eller en interaktiv godkendelse, gør ingen lokal indstilling den politik til en uovervåget login.
En adgangskode, der er gemt af én app, er heller ikke automatisk tilgængelig for en anden VPN-implementering, og derfor kan den samme konto holde op med at spørge i én klient og spørge hver gang i en anden.
Mulighed to: et enhedscertifikat med sin egen nøgle
Et certifikat fjerner prompten på en stærkere måde, fordi iPad'en beviser besiddelsen af en privat nøgle i stedet for at gentage en hemmelighed. Det kræver at løvcertifikatet og dets nøgle ankommer via den godkendte tilmeldingsvej, og at gatewayen accepterer certifikatgodkendelse for den forbindelse. At importere et CA-certifikat alene giver enheden tillidsmateriale og intet andet, hvilket er en almindelig og stille fejl.
Prisen er livscyklusarbejde. Hver iPad får sin egen identitet, så en tabt enhed kan tilbagekaldes uden at genudstede hele flåden, og udløbsdatoer bliver rigtige driftshændelser. Et certifikat, der stille udløber, ser præcis ud som et VPN-nedbrud den morgen, det sker.
Vælg efter, hvad gatewayen accepterer, ikke efter præference
Stil VPN-administratoren to spørgsmål: hvilke godkendelsesmetoder tjenesten accepterer for denne klienttype, og om nogen af dem kræver interaktiv input. Er svaret kun certifikat, planlæg tilmelding og fornyelse. Er svaret adgangskode plus en anden faktor, accepter, at prompten er politik, og hold op med at behandle den som en enhedsfejl. Accepteres begge, vinder certifikatet på livscyklus for en overvåget flåde og adgangskoden på opsætningsarbejde for en håndfuld enheder.
Skriv den valgte metode i udrulningsregistret ved siden af profilidentifikatoren, for ellers vælger den næste person, der rører profilen, den anden.
Adskil derefter aktivering fra godkendelse
VPN On Demand åbner tunnelen, når en konfigureret betingelse er opfyldt, uanset om det er et DNS-domæne, en grænsefladetype eller et tilsluttet netværk, og Apple dokumenterer det som krævende ingen brugerinteraktion. Det passer godt til private ressourcer, der kun skal blive tilgængelige, når noget beder om dem. Det er ikke det samme som administreret Always On, der holder dækningen håndhævet og kommer med sine egne krav til overvågning og profiler.
En fungerende legitimationsoplysning gør ingen af delene. Mange iPads har et helt fint certifikat og venter stadig på et manuelt tryk, fordi ingen on-demand-regel nogensinde blev udløst.
Aflever kravet i en form, en administrator kan handle på: denne iPad skal nå disse ressourcer uden tilbagevendende brugerinput, med denne type legitimationsoplysning og under disse aktiverings- og afbrydelsesregler. Kan den nuværende tjeneste ikke opfylde de betingelser, er gentagne prompts politikken, der virker efter hensigten.