Ĉu iPad bezonas propran klientan atestilon por VPN?

Nova iPad aliĝas al la teamo, kaj la plej rapida vojo estas eksporti la ekzistantan klientan atestilon kaj instali ĝin sur la tabulkomputilo. Tio funkcias ĝis iu foriras, perdas aparaton aŭ petas revizion, kiu diras, kiu aparato konektiĝis kaj kiam. La decido ne temas pri la atestila dosiero sed pri identeco: ĉu ĉiu aparato povas esti rajtigita kaj revokita memstare. Kosto kaj administra laboro decidas la respondon, kaj ambaŭ estas pli malgrandaj ol ili aspektas.

Komuna eldonanto, apartaj identecoj

Ĉiu aparato povas fidi la saman atestilan aŭtoritaton kaj konektiĝi al la sama enirejo, tenante tamen malsaman klientan identecon. La eldonanto estas ankro de fido, dum la identeco estas ŝlosilparo, kies subjekton la servilo mapas al politiko. Ĝuste konfuzi la du estas tio, kio igas komunan atestilon senti sin sendanĝera. Ĝi restas sendanĝera nur ĝis iu bezonas scii, kiu aparato malfermis seancon.

Kunhavigi la eldonanton ŝparas agordan laboron kaj ŝanĝas nenion en la respondeco por ĉiu aparato. Kunhavigi la identecon kunfalda ĉiun aparaton en unu revokeblan unuon: revoki unu revokas ĉiujn, kaj rajtigi anstataŭaĵon rajtigas ĉiun kopion de la ŝlosilo iam faritan. Tiun interŝanĝon indas fari eksplicite anstataŭ kopii dosieron ĉar tio pli rapidas vendrede posttagmeze.

Kiam dua atestilo kostas tro multe

Registrado por ĉiu aparato kostas unu paŝon: administrata profilo, SCEP-peto aŭ gvidata importo kun unufoja pasvorto. Ĝi ankaŭ kostas lokon por spuri serinumerojn kaj findatojn, la parton, kiun plej multaj enkondukoj forgesas ĝis la unua atestilo eksvalidiĝas. Ambaŭ kostoj estas unufojaj, kaj ambaŭ malgrandiĝas tuj kiam la registra fluo aŭtomatigas ilin.

La kosto estas reala por domanaro kun du tabulkomputiloj kaj unu uzanto, kie komuna identeco estas racia decido dokumentita en unu frazo. Ĝi ne estas racia por servo, kie aliro devas esti retirita por persono aŭ por aparato, ĉar la revoka rakonto estas la tuta kialo uzi atestilojn anstataŭ pasvorton. Juĝu la enkondukon laŭ tio, kiom ofte aparatoj ŝanĝas manojn, ne laŭ tio, kiom da aparatoj ekzistas hodiaŭ.

Registru la aparaton, ne kopiu la ŝlosilon

Modernaj platformoj tenas privatajn ŝlosilojn en protektita stokejo, kaj kelkaj markas ilin neeksporteble laŭ dizajno. Ĝuste tiu eco igas kopiadon unuavice neebla, kaj ĝi ankaŭ klarigas, kial eksportita pakaĵo de tekkomputilo ne povas simple esti reimportita sur tabulkomputilon laŭ iu ajn subtenata maniero. Provo tamen produktas profilon, kiu instaliĝas pure kaj poste neniam aŭtentikigas.

Uzu la registran metodon, kiun la enkonduko jam subtenas: administrata identeca profilo, SCEP-servo aŭ kontobaza fluo, kiu eldonas novan ŝlosilon sur la aparato. Disdoni la privatan ŝlosilon de la atestila aŭtoritato por solvi mankan identecon estas alia eraro kun multe pli granda efikradiuso. La aŭtoritato eldonas akreditaĵojn kaj neniam devus vojaĝi al la finpunkto.

Kontrolu la revokadon antaŭ ol respondi

Antaŭ ol elekti la komunan opcion, priskribu, kiel revokado aspektas en la plej malbona tago. Se la respondo estas unu ago, kiu efikas al pluraj aparatoj, la dezajno jam decidis kontraŭ vi.

openssl pkcs12 -in client.p12 -info -noout
openssl x509 -in client.pem -noout -subject -issuer -serial -dates
openssl verify -CAfile ca.pem client.pem

Ekzamenu la materialon, kiun vi vere tenas: ĉu privata ŝlosilo ĉeestas, kion diras la subjekto kaj ĉu la serinumero povas esti revokita individue. Atestila dosiero sen sia ŝlosilo povas aŭtentikigi nenion, kaj tial iuj kopiitaj identecoj malsukcesas ĉe la unua konekto.

Forigi aplikaĵon de la tabulkomputilo ne estas revokado, kaj la servilo daŭre akceptas la identecon ĝis iu malŝaltas ĝin. Skribu tiun frazon en la runlibron antaŭ ol registriĝas la unua aparato.