آیا iPad به گواهی مشتری VPN اختصاصی خود نیاز دارد؟

iPad تازه‌ای به تیم می‌پیوندد و سریع‌ترین راه، صدور گواهی مشتری موجود و نصب آن روی تبلت است. این روش تا زمانی کار می‌کند که کسی سازمان را ترک کند، دستگاهی گم شود یا کسی ممیزی بخواهد که نشان دهد کدام دستگاه چه زمانی متصل شده است. تصمیم درباره فایل گواهی نیست، درباره هویت است: اینکه آیا هر دستگاه می‌تواند به‌تنهایی مجاز و ابطال شود. هزینه و تلاش مدیریت پاسخ را تعیین می‌کند و هر دو کمتر از آنچه به نظر می‌رسند هستند.

صادرکننده مشترک، هویت‌های جداگانه

هر دستگاه می‌تواند به همان مرجع گواهی اعتماد کند و به همان دروازه متصل شود، در حالی که هویت مشتری متفاوتی دارد. صادرکننده لنگر اعتماد است، در حالی که هویت یک جفت کلید است که سرور موضوع آن را به یک سیاست نگاشت می‌کند. همین درهم‌آمیختن این دو است که گواهی مشترک را بی‌خطر جلوه می‌دهد. این بی‌خطر بودن تنها تا زمانی ادامه دارد که کسی نیاز داشته باشد بداند کدام دستگاه نشستی باز کرده است.

اشتراک صادرکننده در کار پیکربندی صرفه‌جویی می‌کند و هیچ چیز را در پاسخ‌گویی هر دستگاه تغییر نمی‌دهد. اشتراک هویت، هر دستگاه را در یک واحد قابل ابطال جمع می‌کند: ابطال یکی همه را ابطال می‌کند و مجاز کردن یک جایگزین، هر نسخه‌ای از کلید که تاکنون ساخته شده را مجاز می‌کند. این معاوضه ارزش آن را دارد که به‌صراحت انجام شود، نه با کپی کردن یک فایل چون بعدازظهر جمعه سریع‌تر است.

وقتی گواهی دوم بیش از حد گران است

ثبت به ازای هر دستگاه یک گام هزینه دارد: یک بار مدیریت‌شده، یک درخواست SCEP یا یک درون‌ریزی هدایت‌شده با گذرواژه یک‌باره. مکانی برای پیگیری شماره‌های سریال و تاریخ انقضا هم هزینه دارد، بخشی که بیشتر استقرارها تا زمانی که نخستین گواهی منقضی نشود فراموشش می‌کنند. هر دو هزینه یک‌باره‌اند و هر دو کاهش می‌یابند وقتی جریان ثبت آن‌ها را خودکار کند.

این هزینه برای خانواده‌ای با دو تبلت و یک کاربر واقعی است، جایی که هویت مشترک تصمیمی معقول و در یک جمله مستند است. برای سرویسی که دسترسی باید به ازای هر شخص یا هر دستگاه پس گرفته شود معقول نیست، چون داستان ابطال تمام دلیل استفاده از گواهی به‌جای گذرواژه است. استقرار را با بسامد دست‌به‌دست شدن دستگاه‌ها بسنجید، نه با شمار دستگاه‌هایی که امروز وجود دارند.

دستگاه را ثبت کنید، کلید را کپی نکنید

پلتفرم‌های مدرن کلیدهای خصوصی را در مخزن محافظت‌شده نگه می‌دارند و برخی آن‌ها را به‌طور طراحی غیرقابل‌صدور علامت می‌زنند. همین ویژگی کپی کردن را از ابتدا ناممکن می‌کند و همچنین دلیل آن است که بسته صادرشده از یک لپ‌تاپ نمی‌تواند به هیچ روش پشتیبانی‌شده‌ای به‌سادگی روی تبلت دوباره درون‌ریزی شود. تلاش برای این کار با این حال نمایه‌ای می‌سازد که پاک نصب می‌شود و سپس هرگز احراز هویت نمی‌کند.

از روش ثبتی استفاده کنید که استقرار از قبل پشتیبانی می‌کند: یک بار هویت مدیریت‌شده، یک سرویس SCEP یا جریانی مبتنی بر حساب که کلید تازه‌ای روی دستگاه صادر می‌کند. توزیع کلید خصوصی مرجع گواهی برای حل هویت گمشده خطای دیگری با دامنه اثر بسیار بزرگ‌تر است. مرجع گواهی اعتبارنامه صادر می‌کند و هرگز نباید به نقطه پایانی سفر کند.

پیش از پاسخ دادن، ابطال را بررسی کنید

پیش از انتخاب گزینه مشترک، توصیف کنید که ابطال در بدترین روز چگونه است. اگر پاسخ یک اقدام باشد که چند دستگاه را تحت تأثیر قرار می‌دهد، طراحی از قبل به زیان شما تصمیم گرفته است.

openssl pkcs12 -in client.p12 -info -noout
openssl x509 -in client.pem -noout -subject -issuer -serial -dates
openssl verify -CAfile ca.pem client.pem

موادی را که واقعاً در دست دارید بررسی کنید: اینکه کلید خصوصی وجود دارد یا نه، موضوع چه می‌گوید و آیا شماره سریال را می‌توان به‌صورت جداگانه ابطال کرد. فایل گواهی بدون کلیدش نمی‌تواند چیزی را احراز هویت کند، و به همین دلیل برخی هویت‌های کپی‌شده در نخستین اتصال شکست می‌خورند.

حذف یک برنامه از تبلت ابطال نیست و سرور تا زمانی که کسی هویت را غیرفعال نکند آن را می‌پذیرد. آن جمله را پیش از ثبت نخستین دستگاه در دفترچه رویه بنویسید.