VPN iPadis ilma parooliküsimusteta: sertifikaadid või salvestatud sisselogimine
Salvestatud parool ja seadme sertifikaat kõrvaldavad küsimuse erineval viisil. Võrrelge neid ja otsustage seejärel eraldi, mis tunneli avab.
«Lõpetage minult parooli küsimine» koondab tegelikult kolm nõuet ühte kaebusesse ning iPadis juurutamine vastab neile eri kohtades. Küsimus tuleb autentimisest, ajastus aktiveerimisest ja katvus jõustamisest. Kõigepealt valige mandaat, mis küsimuse kõrvaldab, seejärel otsustage eraldi, mis määrab, millal tunnel avaneb. Nende kahe otsuse segamine ongi põhjus, miks salvestatud parool jääb profiilile, mis ootab endiselt puudutust.
| Saved or shared secret | Device certificate | |
|---|---|---|
| What the user sees | no prompt while the credential stays valid | no prompt, no password to rotate |
| What the admin manages | the secret in the profile and its distribution | enrollment, expiry and revocation per device |
| Typical failure | gateway demands a second factor | expired or revoked certificate |
Kaks probleemi ühes kaebuses
iPadis saab kohalik IKEv2 konfiguratsioon viidata paroolile või sertifikaadile ning võti AuthenticationMethod otsustab, kumb kehtib, samal ajal kui PayloadCertificateUUID nimetab mandaadi, mis identiteedi annab. Selle, kumma lüüs vastu võtab, otsustab serveripoliitika, mitte kliendi eelistus. Seega tuleb kõigepealt kindlaks teha, mida VPN-teenus lubab, sest iPad ei saa läbi rääkida meetodini, mille teine pool tagasi lükkab.
Alles pärast seda on mõtet rääkida sellest, millal tunnel aktiveerub, mis on hoopis teine profiilivõtmete kogum.
Esimene valik: mandaat, mille iPad saab uuesti kasutada
Salvestatud kontoparool või jagatud saladus rahuldab lüüsi, mis autendib kasutajat või gruppi, ja kõrvaldab küsimuse seni, kuni saladus kehtib. Selle nõrkus on elutsükkel: saladus asub profiilis, mitu seadet võivad seda jagada ning selle vahetamine tähendab iga seda kandva profiili puudutamist. Kui teenus nõuab lisaks ühekordset tegurit või interaktiivset kinnitust, ei muuda ükski kohalik säte seda poliitikat järelevalveta sisselogimiseks.
Ühe rakenduse salvestatud parool ei ole automaatselt saadaval ka teisele VPN-teostusele, mistõttu võib sama konto ühes kliendis küsimise lõpetada ja teises iga kord küsida.
Teine valik: seadme sertifikaat oma võtmega
Sertifikaat kõrvaldab küsimuse tugevamal viisil, sest iPad tõestab privaatvõtme valdamist, mitte ei korda saladust. Selleks peavad lehtsertifikaat ja selle võti saabuma heakskiidetud registreerimistee kaudu ning lüüs peab selle ühenduse jaoks sertifikaadi autentimise vastu võtma. Ainult CA-sertifikaadi importimine annab seadmele usaldusmaterjali ja mitte midagi muud, mis on tavaline ja vaikne tõrge.
Hind on elutsükli töö. Iga iPad saab oma identiteedi, et kadunud seadme saaks tühistada kogu parve uuesti väljastamata, ning kehtivusajad muutuvad tõelisteks operatsioonisündmusteks. Sertifikaat, mis vaikselt aegub, näeb välja täpselt nagu VPN-i katkestus sellel hommikul, mil see juhtub.
Valige selle järgi, mida lüüs aktsepteerib, mitte eelistuse järgi
Küsige VPN-administraatorilt kahte asja: milliseid autentimismeetodeid teenus seda tüüpi kliendi jaoks aktsepteerib ja kas mõni neist nõuab interaktiivset sisestust. Kui vastus on ainult sertifikaat, planeerige registreerimine ja uuendamine. Kui vastus on parool pluss teine tegur, nõustuge, et küsimus on poliitika, ja lõpetage selle käsitlemine seadme rikkena. Kui mõlemad on lubatud, võidab sertifikaat elutsükli osas jälgitud parve puhul ja parool seadistusvaeva osas mõne seadme puhul.
Kirjutage valitud meetod juurutuskirjesse profiili identifikaatori kõrvale, sest muidu valib järgmine profiili puudutav inimene teise.
Seejärel eraldage aktiveerimine autentimisest
VPN On Demand avab tunneli, kui konfigureeritud tingimus sobib, olgu selleks DNS-domeen, liidese tüüp või liitunud võrk, ja Apple dokumenteerib selle sellena, mis ei nõua kasutaja sekkumist. See sobib privaatsetele ressurssidele, mis peaksid olema kättesaadavad ainult siis, kui miski neid küsib. See ei ole sama mis hallatud Always On, mis hoiab katvust jõustatuna ja toob kaasa oma järelevalve- ja profiilinõuded.
Toimiv mandaat ei tee kummagi jaoks midagi. Paljudel iPadidel on täiesti korralik sertifikaat ja need ootavad siiski käsitsi puudutust, sest ükski nõudepõhine reegel ei rakendunud kunagi.
Andke nõue üle kujul, millega administraator saab tegutseda: see iPad peab jõudma nende ressurssideni ilma korduva kasutajasisestuseta, seda tüüpi mandaadi ja nende aktiveerimis- ning tõrketingimuste alusel. Kui praegune teenus ei suuda neid tingimusi täita, on korduvad küsimused poliitika, mis töötab nii nagu kavandatud.