iPad-VPN ohne Passwortabfrage: Zertifikate und gespeicherte Anmeldung
Ein gespeichertes Passwort und ein Gerätezertifikat beseitigen die Abfrage auf unterschiedliche Weise. Vergleichen Sie beide und entscheiden Sie getrennt, was den Tunnel öffnet.
„Hört auf, mich nach einem Passwort zu fragen“ ist eigentlich ein Bündel aus drei Anforderungen in einer einzigen Beschwerde, und eine iPad-Bereitstellung beantwortet sie an verschiedenen Stellen. Die Abfrage stammt aus der Authentifizierung, der Zeitpunkt aus der Aktivierung und die Abdeckung aus der Durchsetzung. Wählen Sie zuerst die Anmeldedaten, die die Abfrage beseitigt, und entscheiden Sie dann getrennt, was bestimmt, wann der Tunnel aufgeht. Beides zu vermischen führt genau dazu, dass ein gespeichertes Passwort in einem Profil landet, das trotzdem auf einen Fingertipp wartet.
| Saved or shared secret | Device certificate | |
|---|---|---|
| What the user sees | no prompt while the credential stays valid | no prompt, no password to rotate |
| What the admin manages | the secret in the profile and its distribution | enrollment, expiry and revocation per device |
| Typical failure | gateway demands a second factor | expired or revoked certificate |
Zwei Probleme in einer Beschwerde
Eine native IKEv2-Konfiguration auf dem iPad kann sich auf ein Passwort oder ein Zertifikat stützen, und der Schlüssel AuthenticationMethod entscheidet, was davon gilt, während PayloadCertificateUUID die Anmeldedaten benennt, die die Identität liefern. Welche davon das Gateway akzeptiert, ist eine Frage der Serverrichtlinie und keine Client-Vorliebe. Zuerst ist also zu klären, was der VPN-Dienst zulässt, denn ein iPad kann sich nicht zu einer Methode verhandeln, die die Gegenseite ablehnt.
Erst danach ist es sinnvoll, darüber zu sprechen, wann der Tunnel aktiviert wird, denn dafür gelten ganz andere Profilschlüssel.
Option eins: Anmeldedaten, die das iPad wiederverwenden kann
Ein gespeichertes Kontopasswort oder ein gemeinsames Geheimnis genügt einem Gateway, das den Benutzer oder die Gruppe authentifiziert, und es beseitigt die Abfrage, solange das Geheimnis gültig bleibt. Seine Schwäche ist der Lebenszyklus: Das Geheimnis steht im Profil, mehrere Geräte können es gemeinsam nutzen, und eine Rotation bedeutet, jedes Profil anzufassen, das es enthält. Verlangt der Dienst zusätzlich einen Einmalfaktor oder eine interaktive Freigabe, macht keine lokale Einstellung aus dieser Richtlinie eine unbeaufsichtigte Anmeldung.
Ein von einer App gespeichertes Passwort steht auch nicht automatisch einer anderen VPN-Implementierung zur Verfügung; deshalb kann dasselbe Konto in einem Client nicht mehr fragen und in einem anderen jedes Mal.
Option zwei: ein Gerätezertifikat mit eigenem Schlüssel
Ein Zertifikat beseitigt die Abfrage auf stärkere Weise, weil das iPad den Besitz eines privaten Schlüssels beweist, statt ein Geheimnis erneut zu senden. Dafür müssen das Endzertifikat und sein Schlüssel über den freigegebenen Registrierungsweg eintreffen, und das Gateway muss die Zertifikatsauthentifizierung für diese Verbindung akzeptieren. Nur eine CA-Zertifikatsdatei zu importieren gibt dem Gerät Vertrauensmaterial und sonst nichts, was ein häufiger und stiller Fehler ist.
Der Preis ist Lebenszyklusarbeit. Jedes iPad erhält eine eigene Identität, damit ein verlorenes Gerät widerrufen werden kann, ohne den ganzen Bestand neu auszustellen, und Ablaufdaten werden zu echten Betriebsereignissen. Ein Zertifikat, das stillschweigend abläuft, sieht am Morgen danach genauso aus wie ein VPN-Ausfall.
Entscheiden Sie nach dem, was das Gateway akzeptiert, nicht nach Vorliebe
Stellen Sie der VPN-Administration zwei Fragen: welche Authentifizierungsmethoden der Dienst für diesen Client-Typ akzeptiert und ob eine davon interaktive Eingaben verlangt. Lautet die Antwort nur Zertifikat, planen Sie Registrierung und Erneuerung. Lautet sie Passwort plus zweiter Faktor, akzeptieren Sie, dass die Abfrage Richtlinie ist, und behandeln Sie sie nicht länger als Gerätefehler. Sind beide erlaubt, gewinnt das Zertifikat beim Lebenszyklus für einen betreuten Bestand und das Passwort beim Einrichtungsaufwand für eine Handvoll Geräte.
Schreiben Sie die gewählte Methode zusammen mit der Profilkennung in den Bereitstellungsdatensatz, weil die nächste Person am Profil sonst die andere wählt.
Dann Aktivierung und Authentifizierung trennen
VPN On Demand öffnet den Tunnel, wenn eine konfigurierte Bedingung zutrifft, sei es eine DNS-Domain, ein Schnittstellentyp oder ein verbundenes Netzwerk, und Apple dokumentiert dies als ohne Benutzerinteraktion ablaufend. Das passt gut zu privaten Ressourcen, die nur erreichbar werden sollen, wenn etwas sie anfordert. Es ist nicht dasselbe wie verwaltetes Always On, das die Abdeckung durchgesetzt hält und eigene Beaufsichtigung sowie Profilanforderungen mitbringt.
Ein funktionierendes Anmeldedatum bewirkt für beide Varianten nichts. Viele iPads besitzen ein völlig gutes Zertifikat und warten trotzdem auf einen manuellen Fingertipp, weil nie eine On-Demand-Regel ausgelöst wurde.
Übergeben Sie die Anforderung in einer Form, mit der die Administration arbeiten kann: Dieses iPad soll diese Ressourcen ohne wiederkehrende Benutzereingaben erreichen, mit diesem Anmeldedatentyp und unter diesen Aktivierungs- und Ausfallregeln. Erfüllt der aktuelle Dienst diese Bedingungen nicht, sind wiederholte Abfragen die Richtlinie, die genau wie vorgesehen arbeitet.