iPad-eko VPN pasahitzik eskatu gabe: ziurtagiriak edo gordetako saioa
Gordetako pasahitzak eta gailuaren ziurtagiriak modu ezberdinetan kentzen dute eskaera. Konparatu biak, eta gero erabaki bereizita tunela zer irekitzen duen.
«Utzi niri pasahitza eskatzen» hiru baldintza kexa bakarrean biltzen ditu, eta iPad-eko inplementazioak leku ezberdinetan erantzuten die. Eskaera autentifikaziotik dator, denbora aktibaziotik eta estaldura betearazpenetik. Lehenik eskaera kentzen duen kredentziala aukeratu, eta gero bereizita erabaki tunela noiz irekitzen den. Bi erabakiak nahastea da gordetako pasahitza ukipen baten zain jarraitzen duen profilean gertatzeko arrazoia.
| Saved or shared secret | Device certificate | |
|---|---|---|
| What the user sees | no prompt while the credential stays valid | no prompt, no password to rotate |
| What the admin manages | the secret in the profile and its distribution | enrollment, expiry and revocation per device |
| Typical failure | gateway demands a second factor | expired or revoked certificate |
Arazo bi kexa bakarrean
iPad-eko IKEv2 konfigurazio natiboak pasahitz edo ziurtagiri bati erreferentzia egin diezaioke, eta AuthenticationMethod gakoak zein aplikatzen den erabakitzen du, PayloadCertificateUUID identitatea ematen duen kredentziala izendatzen duen bitartean. Ateak zein onartuko duen zerbitzariaren politikaren kontua da, ez bezeroaren lehentasuna. Beraz, lehenik VPN zerbitzuak zer baimentzen duen zehaztu behar da, iPad-ek ezin baititu negoziatu beste aldeak ukatzen duen metodo bateraino.
Horren ondoren soilik du zentzua tunela noiz aktibatzen den hitz egiteak, eta hori profil gakoen multzo guztiz ezberdina da.
Lehen aukera: iPad-ek berrerabil dezakeen kredentziala
Gordetako kontu pasahitz batek edo partekatutako sekretu batek erabiltzailea edo taldea autentifikatzen duen atea asetzen du, eta eskaera kentzen du sekretua baliozkoa den bitartean. Bere ahultasuna bizi-zikloa da: sekretua profilean dago, hainbat gailuk parteka dezakete, eta hura biratzeak daraman profil bakoitza ukitzea esan nahi du. Zerbitzuak faktore bakarreko bat edo onespen interaktiboa ere eskatzen badu, ez dago tokiko ezarpenik politika hori zaintzarik gabeko saio hasiera bihurtzen duenik.
Aplikazio batek gordetako pasahitza ez dago automatikoki erabilgarri VPN inplementazio baterako, eta horregatik kontu berak eskatzen uzteko du bezero batean eta beste batean aldiro eskatzeko.
Bigarren aukera: gako propioa duen gailu ziurtagiria
Ziurtagiriak indartsuago kentzen du eskaera, iPad-ek gako pribatu baten jabetza frogatzen baitu sekretu bat errepikatu beharrean. Horretarako hosto ziurtagiria eta bere gakoa onartutako erregistro bidearen bidez iritsi behar dira, eta ateak konexio horretarako ziurtagiri bidezko autentifikazioa onartu behar du. CA ziurtagiri bat soilik inportatzeak gailuari konfiantza materiala ematen dio eta besterik ez, eta hori huts egite arrunta eta isila da.
Prezioa bizi-zikloko lana da. iPad bakoitzak bere identitatea lortzen du, galdutako gailua talde osoa berrireki gabe baliogabetu ahal izateko, eta iraungitze datak benetako eragiketa gertaerak bihurtzen dira. Isilki iraungitzen den ziurtagiri batek VPN eten bat bezalakoa dirudi gertatzen den goizean.
Aukeratu atea onartzen duenaren arabera, ez lehentasunaren arabera
Galdetu VPN administratzaileari bi gauza: zerbitzuak bezero mota honetarako zein autentifikazio metodo onartzen dituen, eta horietakoren batek sarrera interaktiboa eskatzen duen. Erantzuna ziurtagiria soilik bada, planifikatu erregistroa eta berritzea. Erantzuna pasahitza gehi bigarren faktorea bada, onartu eskaera politika dela eta utzi gailuaren akats gisa tratatzeari. Biak onartzen badira, ziurtagiriak irabazten du bizi-zikloan gainbegiratutako talde baterako eta pasahitzak konfigurazio ahaleginean gailu gutxi batzuetarako.
Idatzi aukeratutako metodoa inplementazio erregistroan profileko identifikatzailearen ondoan, bestela profila ukitzen duen hurrengo pertsonak bestea aukeratuko baitu.
Gero bereizi aktibazioa autentifikaziotik
VPN On Demand-ek tunela irekitzen du konfiguratutako baldintza bat datorrenean, DNS domeinua, interfaze mota edo elkartutako sare bat izanik ere, eta Apple-k erabiltzailearen elkarreragina behar ez duen zerbait dela dokumentatzen du. Hori egokia da zerbait eskatzen duenean soilik irisgarri izan behar duten baliabide pribatuetarako. Ez da kudeatutako Always On berdin, estaldura betearazita mantentzen duena eta bere gainbegiratu eta profil baldintzak dakarrena.
Funtzionatzen duen kredentzialak ez du ezer egiten bietarako. iPad askok ziurtagiri erabat ona dute eta hala ere eskuzko ukipen baten zain daude, inoiz ez delako eskari araurik abiarazi.
Eman baldintza administratzaileak erabil dezakeen moduan: iPad honek baliabide hauetara iritsi behar du erabiltzailearen sarrera errepikaturik gabe, kredentzial mota honekin eta aktibazio eta eten arau hauen arabera. Uneko zerbitzuak baldintza horiek betetzen ez baditu, eskaera errepikatuak diseinatu bezala funtzionatzen duen politika dira.