Kan en iPhone genbruge din Macs OpenVPN-profil?

Én fungerende Mac-forbindelse er ikke en skabelon til en telefon, heller ikke når begge bruger samme konto og samme server. Mac-profilen kan have certifikater i separate filer, bruge direktiver der kun giver mening på en computer og være afhængig af en identitet, som operatøren kun har udstedt til den maskine. En telefon har brug for sin egen pakke, sin egen identitet og sin egen importvej. At skille politikspørgsmålet fra pakningsspørgsmålet er det meste af arbejdet.

Spørg operatøren om to ting, før du kopierer noget: om kontoen må køre på mere end én enhed, og om telefonen skal have sit eget certifikat.

Genbrug er først et politikspørgsmål, derefter et teknisk

Et klientcertifikat er en identitet, og at lægge én identitet på to enheder betyder, at serveren ikke kan skelne dem i logfiler, i adgangsregler eller ved en tilbagekaldelse. Nogle installationer accepterer det og aktiverer dublerede fællesnavne eksplicit; de fleste gør ikke, og den anden enhed bliver enten afvist eller smider den første offline. Et delt brugernavn og en delt adgangskode gør ikke et delt certifikat passende. Få operatørens svar på skrift, før du planlægger nogen overførsel.

Revisionssiden betyder lige så meget. Hvis telefonen mistes, afbryder tilbagekaldelsen af et certifikat, som Macen også bruger, begge enheder, og hvis det forbliver gyldigt, har telefonen stadig fungerende VPN-adgang. Et certifikat for hver enhed gør tabet til en enkelt tilbagekaldelse, og det er netop derfor, det ekstra registreringstrin findes.

Mac-profilen og telefonprofilen er forskellige i praksis

På en computer kan en .ovpn-fil ligge ved siden af en CA, et certifikat og en nøgle i separate filer, og den kan bære hooks, scripts og stier, som kun giver mening på det styresystem. En mobil klient vil normalt have de dele indlejret eller leveret gennem en PKCS#12-pakke med adgangskode, og den ignorerer eller afviser direktiver, den ikke kan efterleve. Kopiering af Macens fil giver ofte en import, der mislykkes, eller en, der forbinder med halvdelen af mulighederne manglende. Løsningen er en vedligeholdt mobilpakke fra operatøren, ikke en håndredigeret fil med de akavede linjer slettet.

Behandl enhver fil med en privat nøgle som en legitimationsoplysning, ikke som en konfiguration. Profildownloads går gennem beskyttede kanaler af den grund, og en kopi, der ligger i en chattråd eller en downloadmappe, er en levende hemmelighed med et venligt filnavn.

Importer gennem telefonens egen flow

Installer den officielle OpenVPN Connect-app, og bring derefter profilen ind gennem dens importflow, enten som en fil eller som en forbindelses-URL, som operatøren angiver. På en telefon uden styring beder appen om tilladelse til at tilføje en VPN-konfiguration, hvilket er systemets eget bekræftelsestrin. Følg konto- og MFA-prompterne, som de vises, i stedet for at forudfylde værdier lånt fra Macen. Hvis importen lykkes, og forbindelsen ikke gør, ligger problemet i profilens indhold, ikke i overførslen.

På en administreret telefon kan administratoren begrænse profilimport eller -redigering gennem mobilenhedsstyringskanalen. En begrænset app er ikke et puslespil, der skal overvindes; brug administratorens registreringsvej, fordi den vej også styrer, hvad der sker, når telefonen udskiftes.

Bevis telefonen uafhængigt

Åbn en privat ressource fra telefonen på mobildata med Wi-Fi slået fra, så anmodningen ikke stille kan tage en anden vej. At Macen forbliver forbundet beviser intet om telefonens ruter, DNS eller accept af legitimationsoplysninger. Sammenlign derefter de to enheder: et internt værtsnavn, der slår op på Macen og fejler på telefonen, peger på DNS-indstillinger, som er forskellige i de to pakker. Notér profilnavnet, enhedens identitet og hvem der registrerede den.

Når noget fejler, skal du gemme den præcise meddelelse og appversionen. En importfejl og en forbindelsesfejl kommer fra forskellige lag, og at slå dem sammen i én rapport spilder en hel runde. En profil, der importeres rent, beviser kun, at filen blev parset.

Efter registreringen skal du slette overførselskopierne efter din opbevaringspolitik og dokumentere en genregistreringsvej. En erstatningstelefon skal have en ny identitet, ikke en kopi af den gamle.