VPN sur iPad sen pasvortaj demandoj: atestiloj aŭ konservita ensaluto
Konservita pasvorto kaj aparata atestilo forigas la demandon laŭ malsamaj manieroj. Komparu ilin, poste aparte decidu, kio malfermas la tunelon.
«Ĉesu demandi min pri pasvorto» fakte kunigas tri postulojn en unu plendon, kaj surmeto sur iPad respondas ilin en malsamaj lokoj. La demando venas de aŭtentikigo, la tempo de aktivigo kaj la kovrado de deviga apliko. Unue elektu la akreditaĵon, kiu forigas la demandon, poste aparte decidu, kio difinas, kiam la tunelo malfermiĝas. Miksi tiujn du decidojn estas ĝuste tio, kio lasas konservitan pasvorton sur profilo, kiu ankoraŭ atendas tuŝon.
| Saved or shared secret | Device certificate | |
|---|---|---|
| What the user sees | no prompt while the credential stays valid | no prompt, no password to rotate |
| What the admin manages | the secret in the profile and its distribution | enrollment, expiry and revocation per device |
| Typical failure | gateway demands a second factor | expired or revoked certificate |
Du problemoj en unu plendo
Denaska IKEv2-agordo sur iPad povas referenci pasvorton aŭ atestilon, kaj la ŝlosilo AuthenticationMethod decidas, kiu validas, dum PayloadCertificateUUID nomas la akreditaĵon, kiu donas la identecon. Kiun el ili la enirejo akceptos, estas demando pri servila politiko, ne pri prefero de la kliento. Do unue necesas konstati, kion la VPN-servo permesas, ĉar iPad ne povas pritrakti metodon, kiun la alia flanko rifuzas.
Nur poste senciĝas paroli pri tio, kiam la tunelo aktiviĝas, kio estas tute alia aro de profilaj ŝlosiloj.
Unua opcio: akreditaĵo, kiun la iPad povas reuzi
Konservita konta pasvorto aŭ komuna sekreto kontentigas enirejon, kiu aŭtentikigas la uzanton aŭ la grupon, kaj forigas la demandon dum la sekreto restas valida. Ĝia malforteco estas la vivociklo: la sekreto sidas en la profilo, pluraj aparatoj povas kunhavi ĝin, kaj rotacii ĝin signifas tuŝi ĉiun profilon, kiu portas ĝin. Se la servo ankaŭ postulas unufojan faktoron aŭ interagan aprobon, nenia loka agordo igas tiun politikon senprizorga ensaluto.
Pasvorto konservita de unu aplikaĵo ankaŭ ne estas aŭtomate disponebla por alia VPN-realigo, tial la sama konto povas ĉesi demandi en unu kliento kaj demandi ĉiufoje en alia.
Dua opcio: aparata atestilo kun propra ŝlosilo
Atestilo forigas la demandon pli forte, ĉar la iPad pruvas posedon de privata ŝlosilo anstataŭ ripeti sekreton. Tio postulas, ke la folia atestilo kaj ĝia ŝlosilo alvenu per la aprobita registriĝa vojo, kaj ke la enirejo akceptu atestilan aŭtentikigon por tiu konekto. Importi nur CA-atestilon donas al la aparato fidaĵon kaj nenion alian, kio estas ofta kaj silenta malsukceso.
La prezo estas vivocikla laboro. Ĉiu iPad ricevas propran identecon, por ke perdita aparato povu esti revokita sen reeldoni la tutan floton, kaj findatoj fariĝas veraj operaciaj eventoj. Atestilo, kiu silente eksvalidiĝas, aspektas same kiel VPN-paneo tiun matenon, kiam ĝi okazas.
Elektu laŭ tio, kion la enirejo akceptas, ne laŭ prefero
Demandu la VPN-administranton du aferojn: kiujn aŭtentikigajn metodojn la servo akceptas por ĉi tiu klienta tipo, kaj ĉu iu el ili postulas interagan enigon. Se la respondo estas nur atestilo, planu registriĝon kaj renovigon. Se la respondo estas pasvorto plus dua faktoro, akceptu, ke la demando estas politiko, kaj ĉesu trakti ĝin kiel aparatan paneon. Se ambaŭ akceptiĝas, la atestilo gajnas pri vivociklo por prizorgata floto kaj la pasvorto pri agorda peno por kelkaj aparatoj.
Skribu la elektitan metodon en la surmetan protokolon apud la profila identigilo, ĉar alie la sekva persono, kiu tuŝos la profilon, elektos la alian.
Poste apartigu aktivigon de aŭtentikigo
VPN On Demand malfermas la tunelon, kiam agordita kondiĉo kongruas, ĉu ĝi estas DNS-domajno, interfaca tipo aŭ aliĝinta reto, kaj Apple dokumentas ĝin kiel nepostulanta uzadan interagon. Tio taŭgas por privataj rimedoj, kiuj devus fariĝi atingeblaj nur kiam io petas ilin. Ĝi ne samas kiel administrata Always On, kiu tenas kovradon devige kaj venas kun propraj postuloj pri superrigardo kaj profilo.
Funkcianta akreditaĵo faras nenion por iu el la du. Multaj iPad-oj havas tute bonan atestilon kaj tamen atendas manan tuŝon, ĉar neniu laŭpeta regulo iam ekfunkciis.
Transdonu la postulon en formo, kiun administranto povas uzi: ĉi tiu iPad devas atingi ĉi tiujn rimedojn sen ripeta uzada enigo, kun ĉi tiu tipo de akreditaĵo kaj sub ĉi tiuj aktivigaj kaj paneaj reguloj. Se la nuna servo ne povas plenumi tiujn kondiĉojn, ripetaj demandoj estas la politiko funkcianta laŭ la plano.