VPN profil bakarra bidali diezu guztiei, eta zure pasahitza dauka
Eutsi partekatutako Apple VPN profila ezarpenetarako soilik, eta eman bakoitzari bere kredentziala. Banatu entregatzea, eta gero ordezkatu filtratutako pasahitzak igorlean.
Profila garbi instalatzen da, denak konektatzen dira, eta gero kontuaren pasahitza biratzen da. Fitxategia jaso zuen gailu bakoitzak minutu berean uzten dio autentifikatzeari, denek sekretu bera daramatelako. Hori da seinalea: artefaktu partekatu batean kopiatutako kredentzial bakar batek pasahitz-aldaketa arrunta flota osoko eten bihurtzen du. Konfigurazio berrerabilgarria eta identitate indibiduala bi entregatze bereizi gisa edukitzeak saihesten du, eta Apple-ren beraren gailu-kudeaketari buruzko dokumentazioak profilak ezarpen eta baimen gisa hartzen ditu, ez sekretuen biltegi gisa.
Sintoma lehen biraketan agertzen da
mobileconfig fitxategia XML edo sinatutako plist bat da. Kopia bat duen edonork deskodetu dezake karga eta irakur dezake zer dagoen, beraz txantiloi bateko AuthPassword balioa testu hutseko kredentziala da fitxategi-luzapen ezohiko batekin. Sinadurak osotasuna eta jatorria aldatzen ditu, ez irakurgarritasuna. Bien bitartean, benetan partekatu nahi dituzun zatiak, atearen helbidea, espero den zerbitzari-identitatea eta trafiko-politika kasu, berdinak dira denentzat.
Sailkatu eremuak ezer editatu aurretik, muga ez baitago jendeak uste duen tokian.
Bereizi ezarpen partekatuak kredentzial indibidualetatik
| Item | Shared profile | Individual record |
|---|---|---|
| Gateway address, expected server identity | yes | no |
Traffic policy, IncludeAllNetworks, exclusions | yes | no |
| User password or account token | no | yes |
| Device identity or certificate | no | yes |
Bide interaktiboa pasahitza kanpoan uztea eta onartutako autentifikazio-antolamenduak eska dezan uztea da. Irakurri arretaz: antzeko itxura besterik ez duen eremu bat ezabatzea ez da saio-hasiera interaktiborako bihurtze unibertsala. IKEv2 kargak bereizten ditu AuthName eta AuthPassword, eta autentifikazio-metodoak erabakitzen du eskaera bat iristeko modukoa den ala ez; ziurtagirian oinarritutako metodoak ez du pasahitzik eskatuko.
Ziurtagiriek ere ez dute gako partekaturik behar
Ateak ziurtagiri bidezko autentifikazioa espero badu, erregistratu nahi den erabiltzaile edo gailuaren identitatea onartutako mekanismoaren bidez, eta eduki gako pribatua txantiloitik kanpo. Kopia bakoitzean gako pribatu partekatu batek biraketa arazo bera ematen dizu inpaktu-erradio okerragoarekin, gako bat ezin baita pertsona bakoitzeko baliogabetu pertsona bakoitzeko jaulki ez bada.
Erregistratu identitate horren jaulkipena, berritzea eta baliogabetzea profileko berrikuspenarekin batera. Biak elkarrekin jarraitzen direnean, berritzea programatutako zeregina da, ez gertakaria.
Zaintzarik gabeko makinek hirugarren erantzuna behar dute
Inor saioa hasi aurretik konektatu behar duen makina batek ezin du eskaera bati erantzun. Hori saioa hasita duen pertsona bati konfigurazioa erraztearen eskakizun desberdina da, eta kudeatutako identitate batekin edo atearen jabearekin adostutako gailu bakoitzeko ziurtagiri batekin konpondu beharko litzateke, ez profilean giza pasahitz bat gordez.
Pasahitz bat gordetzeak ez du bigarren faktorea kentzen ere. Ateak MFA eskatzen badu, gordetako pasahitza duen profilak huts egiten du abiaraztean, eta hutsegitea profil hautsi bat dirudi, falta den faktore bat baino.
Egiaztatu benetan sortu den artefaktua
Txantiloiek gezurra esaten dute isiltzeagatik. Kudeaketa-zerbitzu batek edo esportazio-tresna batek kredentzialak txerta ditzake amaierako fitxategian, eta harekin doazen identitate-kargek edo diagnostiko-kopiek txantiloiak inoiz erakutsi ez zuen materiala eraman dezakete. Ireki sortutako artefaktua nori eman dakiokeen erabaki aurretik. Mantendu ukitu gabe igorle fidagarriaren eta espero den zerbitzari-identitatearen ezarpenak ere; pasahitz bat kentzea ez da ateko konfiantza ahultzeko arrazoia.
Benetako pasahitz bat edo identitate pribatu bat dagoeneko zabalegia ibili bada, baliogabetu igorlean eta ordezkatu. Bihar bitarteko txantiloia editatzeak ez dio ezer egiten jada instalatuta dauden kopiei, eta kopia horiek autentifikatzen jarraituko dute atzean dagoen kredentziala kendu arte.
Onartu entregatzea proba-identitate batekin
Instalatu onartutako fluxuaren bidez proba-identitate bereizi gisa erregistratutako gailu batean, osatu espero den autentifikazioa, eta iritsi baliabide pribatura tunela igotzen ikusi besterik egin beharrean. Egiaztatu profilean ez dagoela kredentzial-materialik, eta gero egiaztatu kredentziala berrituko den identitate-erregistroan dagoela. Bikote hori da onarpen-proba.
Berrikuspen bat ezarpen partekatuetarako, erregistro bat pertsona bakoitzeko, eta benetan behin erabili duzun baliogabetze-bide bat.