Στείλατε ένα προφίλ VPN σε όλους και περιέχει τον κωδικό σας

Το προφίλ εγκαθίσταται καθαρά, όλοι συνδέονται και μετά ο κωδικός του λογαριασμού αλλάζει. Κάθε συσκευή που έλαβε το αρχείο σταματά να πιστοποιείται το ίδιο λεπτό, επειδή όλες φέρουν το ίδιο μυστικό. Αυτό είναι το σημάδι: ένα διαπιστευτήριο που αντιγράφηκε σε ένα κοινόχρηστο τεχνούργημα μετατρέπει μια συνηθισμένη αλλαγή κωδικού σε διακοπή σε όλο τον στόλο. Το να κρατάτε την επαναχρησιμοποιήσιμη διαμόρφωση και την ατομική ταυτότητα ως δύο ξεχωριστές παραδόσεις το αποφεύγει, και η ίδια η τεκμηρίωση της Apple για τη διαχείριση συσκευών αντιμετωπίζει τα προφίλ ως ρυθμίσεις και εξουσιοδότηση, όχι ως αποθήκη μυστικών.

Το σύμπτωμα εμφανίζεται στην πρώτη εναλλαγή

Ένα αρχείο mobileconfig είναι XML ή υπογεγραμμένο plist. Οποιοσδήποτε έχει αντίγραφο μπορεί να αποκωδικοποιήσει το ωφέλιμο φορτίο και να διαβάσει τι περιέχει, άρα μια τιμή AuthPassword σε πρότυπο είναι διαπιστευτήριο σε απλό κείμενο με ασυνήθιστη επέκταση αρχείου. Η υπογραφή αλλάζει την ακεραιότητα και την προέλευση, όχι την αναγνωσιμότητα. Στο μεταξύ, τα μέρη που θέλετε πραγματικά να μοιραστείτε, όπως η διεύθυνση πύλης, η αναμενόμενη ταυτότητα διακομιστή και η πολιτική κίνησης, είναι ίδια για όλους.

Ταξινομήστε τα πεδία πριν επεξεργαστείτε οτιδήποτε, γιατί το όριο δεν είναι εκεί που υποθέτουν οι άνθρωποι.

Διαχωρίστε τις κοινές ρυθμίσεις από τα ατομικά διαπιστευτήρια

Η διαδραστική διαδρομή είναι να αφήσετε τον κωδικό έξω και να αφήσετε τη υποστηριζόμενη ρύθμιση πιστοποίησης να τον ζητήσει. Διαβάστε το προσεκτικά: η διαγραφή ενός πεδίου που απλώς μοιάζει δεν είναι καθολική μετατροπή σε διαδραστική σύνδεση. Το ωφέλιμο φορτίο IKEv2 διακρίνει AuthName από AuthPassword, και η μέθοδος πιστοποίησης αποφασίζει αν το αίτημα είναι καν προσβάσιμο· μια μέθοδος με βάση πιστοποιητικό δεν θα ζητήσει καθόλου κωδικό.

Ούτε τα πιστοποιητικά χρειάζονται κοινόχρηστο κλειδί

Αν η πύλη αναμένει πιστοποίηση με πιστοποιητικό, καταχωρίστε την προβλεπόμενη ταυτότητα χρήστη ή συσκευής μέσω του εγκεκριμένου μηχανισμού και κρατήστε το ιδιωτικό κλειδί έξω από το πρότυπο. Ένα κοινόχρηστο ιδιωτικό κλειδί σε κάθε αντίγραφο σας δίνει το ίδιο πρόβλημα εναλλαγής με χειρότερη ακτίνα επίπτωσης, γιατί ένα κλειδί δεν μπορεί να ανακληθεί ανά άτομο αν δεν εκδόθηκε ανά άτομο.

Καταγράψτε την έκδοση, την ανανέωση και την ανάκληση αυτής της ταυτότητας μαζί με την αναθεώρηση του προφίλ. Όταν τα δύο παρακολουθούνται μαζί, η ανανέωση είναι προγραμματισμένη εργασία και όχι περιστατικό.

Τα μηχανήματα χωρίς επίβλεψη χρειάζονται τρίτη απάντηση

Ένα μηχάνημα που πρέπει να συνδεθεί πριν συνδεθεί κάποιος δεν μπορεί να απαντήσει σε αίτημα. Αυτή είναι διαφορετική απαίτηση από το να κάνετε ευκολότερη τη ρύθμιση για ένα συνδεδεμένο άτομο, και θα έπρεπε να λυθεί με διαχειριζόμενη ταυτότητα ή πιστοποιητικό ανά συσκευή συμφωνημένο με τον ιδιοκτήτη της πύλης, όχι με αποθήκευση ανθρώπινου κωδικού σε προφίλ.

Η αποθήκευση κωδικού δεν αφαιρεί ούτε τον δεύτερο παράγοντα. Αν η πύλη απαιτεί MFA, ένα προφίλ με αποθηκευμένο κωδικό εξακολουθεί να αποτυγχάνει στην εκκίνηση, και η αποτυχία μοιάζει με χαλασμένο προφίλ παρά με παράγοντα που λείπει.

Ελέγξτε το τεχνούργημα που παρήχθη πραγματικά

Τα πρότυπα λένε ψέματα με παράλειψη. Μια υπηρεσία διαχείρισης ή ένα εργαλείο εξαγωγής μπορεί να εισάγει διαπιστευτήρια στο τελικό αρχείο, και συνοδευτικά ωφέλιμα φορτία ταυτότητας ή διαγνωστικά αντίγραφα μπορεί να φέρουν υλικό που το πρότυπο δεν έδειξε ποτέ. Ανοίξτε το παραγόμενο τεχνούργημα πριν αποφασίσετε ποιος επιτρέπεται να το λάβει. Διατηρήστε άθικτες και τις ρυθμίσεις αξιόπιστου εκδότη και αναμενόμενης ταυτότητας διακομιστή· η αφαίρεση κωδικού δεν είναι λόγος να αποδυναμώσετε την εμπιστοσύνη στην πύλη.

Αν πραγματικός κωδικός ή ιδιωτική ταυτότητα έχει ήδη ταξιδέψει πολύ, ανακαλέστε την στον εκδότη και αντικαταστήστε την. Η επεξεργασία του αυριανού προτύπου δεν κάνει τίποτα για τα ήδη εγκατεστημένα αντίγραφα, και αυτά θα συνεχίσουν να πιστοποιούνται έως ότου ανακληθεί το διαπιστευτήριο πίσω τους.

Αποδεχτείτε την παράδοση με δοκιμαστική ταυτότητα

Εγκαταστήστε μέσω της εγκεκριμένης ροής σε συσκευή καταχωρισμένη ως ξεχωριστή δοκιμαστική ταυτότητα, ολοκληρώστε την προβλεπόμενη πιστοποίηση και φτάστε στον ιδιωτικό πόρο αντί να παρακολουθείτε απλώς το τούνελ να ανεβαίνει. Επιβεβαιώστε ότι το προφίλ δεν περιέχει υλικό διαπιστευτηρίων και μετά επιβεβαιώστε ότι το διαπιστευτήριο υπάρχει στην εγγραφή ταυτότητας που θα ανανεωθεί. Αυτό το ζευγάρι είναι η δοκιμή αποδοχής.

Μία αναθεώρηση για κοινές ρυθμίσεις, μία εγγραφή ανά άτομο και μια διαδρομή ανάκλησης που έχετε πραγματικά χρησιμοποιήσει μία φορά.