VPN σε iPad χωρίς ερωτήσεις κωδικού: πιστοποιητικά ή αποθηκευμένη σύνδεση

«Σταματήστε να μου ζητάτε κωδικό» στην πραγματικότητα συγκεντρώνει τρεις απαιτήσεις σε ένα παράπονο, και μια ανάπτυξη σε iPad τις απαντά σε διαφορετικά σημεία. Η ερώτηση προέρχεται από την ταυτοποίηση, ο χρόνος από την ενεργοποίηση και η κάλυψη από την επιβολή. Πρώτα επιλέξτε το διαπιστευτήριο που αφαιρεί την ερώτηση και μετά αποφασίστε χωριστά τι καθορίζει πότε ανοίγει το τούνελ. Η ανάμειξη των δύο αποφάσεων είναι ακριβώς ο λόγος που ένας αποθηκευμένος κωδικός καταλήγει σε προφίλ που ακόμη περιμένει ένα άγγιγμα.

Δύο προβλήματα σε ένα παράπονο

Μια εγγενής ρύθμιση IKEv2 σε iPad μπορεί να παραπέμπει σε κωδικό ή σε πιστοποιητικό, και το κλειδί AuthenticationMethod καθορίζει ποιο ισχύει, ενώ το PayloadCertificateUUID ονομάζει το διαπιστευτήριο που παρέχει την ταυτότητα. Το ποιο από τα δύο θα δεχτεί η πύλη είναι ζήτημα πολιτικής διακομιστή και όχι προτίμησης πελάτη. Άρα πρώτα πρέπει να καθοριστεί τι επιτρέπει η υπηρεσία VPN, γιατί το iPad δεν μπορεί να διαπραγματευτεί μια μέθοδο που η άλλη πλευρά αρνείται.

Μόνο μετά έχει νόημα να μιλήσουμε για το πότε ενεργοποιείται το τούνελ, που είναι ένα εντελώς διαφορετικό σύνολο κλειδιών προφίλ.

Πρώτη επιλογή: διαπιστευτήριο που το iPad μπορεί να επαναχρησιμοποιήσει

Ένας αποθηκευμένος κωδικός λογαριασμού ή ένα κοινόχρηστο μυστικό ικανοποιεί μια πύλη που ταυτοποιεί τον χρήστη ή την ομάδα και αφαιρεί την ερώτηση όσο το μυστικό παραμένει έγκυρο. Η αδυναμία του είναι ο κύκλος ζωής: το μυστικό βρίσκεται στο προφίλ, πολλές συσκευές μπορεί να το μοιράζονται και η εναλλαγή του σημαίνει να αγγίξετε κάθε προφίλ που το φέρει. Αν η υπηρεσία απαιτεί και παράγοντα μίας χρήσης ή διαδραστική έγκριση, καμία τοπική ρύθμιση δεν μετατρέπει αυτή την πολιτική σε σύνδεση χωρίς επίβλεψη.

Ένας κωδικός που αποθηκεύει μια εφαρμογή δεν είναι επίσης αυτόματα διαθέσιμος σε άλλη υλοποίηση VPN, γι' αυτό ο ίδιος λογαριασμός μπορεί να σταματήσει να ρωτά σε έναν πελάτη και να ρωτά κάθε φορά σε άλλον.

Δεύτερη επιλογή: πιστοποιητικό συσκευής με δικό του κλειδί

Ένα πιστοποιητικό αφαιρεί την ερώτηση με ισχυρότερο τρόπο, γιατί το iPad αποδεικνύει κατοχή ιδιωτικού κλειδιού αντί να επαναλαμβάνει ένα μυστικό. Αυτό απαιτεί το φυλλοειδές πιστοποιητικό και το κλειδί του να φτάνουν μέσω της εγκεκριμένης διαδρομής εγγραφής, και την πύλη να δέχεται ταυτοποίηση με πιστοποιητικό για αυτή τη σύνδεση. Η εισαγωγή μόνο ενός πιστοποιητικού CA δίνει στη συσκευή υλικό εμπιστοσύνης και τίποτε άλλο, που είναι μια συνηθισμένη και σιωπηλή αποτυχία.

Το τίμημα είναι εργασία κύκλου ζωής. Κάθε iPad αποκτά τη δική του ταυτότητα ώστε μια χαμένη συσκευή να ανακαλείται χωρίς επανέκδοση ολόκληρου του στόλου, και οι ημερομηνίες λήξης γίνονται πραγματικά επιχειρησιακά γεγονότα. Ένα πιστοποιητικό που λήγει σιωπηλά μοιάζει ακριβώς με βλάβη VPN το πρωί που συμβαίνει.

Επιλέξτε με βάση το τι δέχεται η πύλη, όχι με βάση την προτίμηση

Ρωτήστε τον διαχειριστή VPN δύο πράγματα: ποιες μεθόδους ταυτοποίησης δέχεται η υπηρεσία για αυτόν τον τύπο πελάτη, και αν κάποια από αυτές απαιτεί διαδραστική εισαγωγή. Αν η απάντηση είναι μόνο πιστοποιητικό, σχεδιάστε εγγραφή και ανανέωση. Αν η απάντηση είναι κωδικός συν δεύτερος παράγοντας, δεχτείτε ότι η ερώτηση είναι πολιτική και σταματήστε να τη θεωρείτε βλάβη της συσκευής. Αν γίνονται δεκτά και τα δύο, το πιστοποιητικό κερδίζει στον κύκλο ζωής για έναν εποπτευόμενο στόλο και ο κωδικός κερδίζει στην προσπάθεια εγκατάστασης για λίγες συσκευές.

Γράψτε τη μέθοδο που επιλέχθηκε στο αρχείο ανάπτυξης δίπλα στο αναγνωριστικό προφίλ, αλλιώς το επόμενο άτομο που θα αγγίξει το προφίλ θα επιλέξει το άλλο.

Μετά διαχωρίστε την ενεργοποίηση από την ταυτοποίηση

Το VPN On Demand ανοίγει το τούνελ όταν ταιριάζει μια ρυθμισμένη συνθήκη, είτε είναι τομέας DNS είτε τύπος διασύνδεσης είτε δίκτυο στο οποίο έχει συνδεθεί, και η Apple το τεκμηριώνει ως κάτι που δεν απαιτεί αλληλεπίδραση χρήστη. Αυτό ταιριάζει σε ιδιωτικούς πόρους που πρέπει να γίνονται προσβάσιμοι μόνο όταν κάτι τους ζητά. Δεν είναι το ίδιο με το διαχειριζόμενο Always On, που κρατά την κάλυψη επιβεβλημένη και φέρνει δικές του απαιτήσεις εποπτείας και προφίλ.

Ένα διαπιστευτήριο που λειτουργεί δεν κάνει τίποτε για καμία από τις δύο περιπτώσεις. Πολλά iPad κρατούν ένα απολύτως καλό πιστοποιητικό και ακόμη περιμένουν ένα χειροκίνητο άγγιγμα επειδή κανένας κανόνας κατά παραγγελία δεν ενεργοποιήθηκε ποτέ.

Παραδώστε την απαίτηση σε μορφή που μπορεί να αξιοποιήσει ένας διαχειριστής: αυτό το iPad πρέπει να φτάνει αυτούς τους πόρους χωρίς επαναλαμβανόμενη εισαγωγή χρήστη, με αυτόν τον τύπο διαπιστευτηρίου και υπό αυτούς τους κανόνες ενεργοποίησης και διακοπής. Αν η τρέχουσα υπηρεσία δεν μπορεί να καλύψει αυτές τις προϋποθέσεις, οι επαναλαμβανόμενες ερωτήσεις είναι η πολιτική που λειτουργεί όπως σχεδιάστηκε.