Du sendte én VPN-profil til alle, og den indeholder din adgangskode

Profilen installeres problemfrit, alle opretter forbindelse, og så roteres kontoens adgangskode. Hver enhed, der modtog filen, holder op med at godkende i samme minut, fordi de alle bærer den samme hemmelighed. Det er tegnet: én adgangsoplysning kopieret ind i et delt artefakt gør en rutinemæssig adgangskodeændring til et udfald for hele flåden. At holde den genbrugelige konfiguration og den individuelle identitet som to separate overleveringer undgår det, og Apples egen dokumentation om enhedsadministration behandler profiler som indstillinger og autorisation, ikke som et hemmeligt lager.

Symptomet viser sig ved den første rotation

En mobileconfig-fil er XML eller en signeret plist. Enhver, der har en kopi, kan afkode nyttelasten og læse, hvad der står i den, så en AuthPassword-værdi i en skabelon er en adgangsoplysning i klartekst med en usædvanlig filendelse. Signering ændrer integritet og oprindelse, ikke læsbarhed. Imens er de dele, du virkelig vil dele, såsom gateway-adressen, den forventede serveridentitet og trafikpolitikken, identiske for alle.

Sortér felterne, før du redigerer noget, fordi grænsen ikke er der, hvor folk tror.

Skil delte indstillinger fra individuelle adgangsoplysninger

Den interaktive vej er at lade adgangskoden være ude og lade det understøttede godkendelsesarrangement spørge efter den. Læs det grundigt: at slette et felt, der blot ligner, er ikke en universel omdannelse til interaktivt login. IKEv2-nyttelasten skelner AuthName fra AuthPassword, og godkendelsesmetoden afgør, om en anmodning overhovedet er mulig at nå; en certifikatbaseret metode vil slet ikke spørge efter en adgangskode.

Certifikater har heller ikke brug for en delt nøgle

Hvis gatewayen forventer certifikatgodkendelse, skal du tilmelde den tilsigtede bruger- eller enhedsidentitet via den godkendte mekanisme og holde den private nøgle ude af skabelonen. Én delt privat nøgle i hver kopi giver dig det samme rotationsproblem med en værre radius, fordi en nøgle ikke kan tilbagekaldes for hver person, medmindre den blev udstedt for hver person.

Registrér udstedelse, fornyelse og tilbagekaldelse for den identitet sammen med profilrevisionen. Når de to følges sammen, er en fornyelse en planlagt opgave i stedet for en hændelse.

Ubemandede maskiner har brug for et tredje svar

En maskine, der skal forbinde, før nogen logger ind, kan ikke svare på en anmodning. Det er et andet krav end at gøre opsætningen lettere for en person, der er logget ind, og det bør løses med en administreret identitet eller et certifikat for hver enhed aftalt med gatewayens ejer, ikke ved at gemme en menneskelig adgangskode i en profil.

At gemme en adgangskode fjerner heller ikke en anden faktor. Hvis gatewayen kræver MFA, fejler en profil med en gemt adgangskode stadig ved opstart, og fejlen ser ud som en ødelagt profil snarere end en manglende faktor.

Kontrollér det artefakt, der faktisk blev genereret

Skabeloner lyver ved udeladelse. En administrationstjeneste eller et eksportværktøj kan indsætte adgangsoplysninger i den færdige fil, og medfølgende identitetsnyttelaster eller diagnostiske kopier kan bære materiale, som skabelonen aldrig viste. Åbn det genererede artefakt, før du beslutter, hvem der må modtage det. Behold også indstillingerne for betroet udsteder og forventet serveridentitet intakte; det er ikke en grund til at svække gateway-tilliden at fjerne en adgangskode.

Hvis en rigtig adgangskode eller en privat identitet allerede har rejst for vidt, skal du tilbagekalde den hos udstederen og erstatte den. At redigere morgendagens skabelon gør intet ved de kopier, der allerede er installeret, og de kopier vil fortsætte med at godkende, indtil adgangsoplysningen bag dem trækkes tilbage.

Accepter overleveringen med en testidentitet

Installer gennem det godkendte flow på en enhed, der er tilmeldt som en separat testidentitet, gennemfør den tilsigtede godkendelse, og nå den private ressource i stedet for blot at se tunnelen komme op. Bekræft, at profilen ikke indeholder adgangsoplysninger, og bekræft derefter, at adgangsoplysningen findes i den identitetsregistrering, der skal fornyes. Det par er accepttesten.

Én revision til delte indstillinger, én registrering for hver person, og en tilbagekaldelsesvej, som du faktisk har brugt én gang.