VPN روی iPad بدون درخواست رمز عبور: گواهی‌ها یا ورود ذخیره‌شده
رمز عبور ذخیره‌شده و گواهی دستگاه درخواست را به دو روش متفاوت حذف می‌کنند. آن‌ها را مقایسه کنید، سپس جداگانه تصمیم بگیرید چه چیزی تونل را باز می‌کند.
«از من رمز عبور نپرسید» در واقع سه نیاز را در یک شکایت جمع می‌کند و استقرار روی iPad به آن‌ها در جاهای مختلف پاسخ می‌دهد. درخواست از احراز هویت می‌آید، زمان‌بندی از فعال‌سازی و پوشش از اجرای اجباری. ابتدا اعتبارنامه‌ای را انتخاب کنید که درخواست را حذف می‌کند، سپس جداگانه تصمیم بگیرید چه چیزی تعیین می‌کند تونل چه زمانی باز شود. درهم آمیختن این دو تصمیم همان چیزی است که باعث می‌شود رمز عبور ذخیره‌شده روی نمایه‌ای بماند که هنوز منتظر یک لمس است.
| Saved or shared secret | Device certificate | |
|---|---|---|
| What the user sees | no prompt while the credential stays valid | no prompt, no password to rotate |
| What the admin manages | the secret in the profile and its distribution | enrollment, expiry and revocation per device |
| Typical failure | gateway demands a second factor | expired or revoked certificate |
دو مشکل در یک شکایت
پیکربندی بومی IKEv2 روی iPad می‌تواند به رمز عبور یا گواهی ارجاع دهد، و کلید AuthenticationMethod تعیین می‌کند کدام یک اعمال می‌شود، در حالی که PayloadCertificateUUID اعتبارنامه‌ای را نام می‌برد که هویت را تأمین می‌کند. اینکه دروازه کدام یک را بپذیرد پرسش سیاست سرور است، نه ترجیح کارخواه. پس نخستین چیزی که باید مشخص شود این است که سرویس VPN چه چیزی را مجاز می‌داند، زیرا iPad نمی‌تواند به روشی مذاکره کند که طرف دیگر آن را رد می‌کند.
تنها پس از آن است که صحبت درباره زمان فعال شدن تونل معنا پیدا می‌کند، که مجموعه‌ای کاملاً متفاوت از کلیدهای نمایه است.
گزینه اول: اعتبارنامه‌ای که iPad می‌تواند دوباره استفاده کند
رمز عبور حساب ذخیره‌شده یا یک راز مشترک دروازه‌ای را راضی می‌کند که کاربر یا گروه را احراز هویت می‌کند، و تا زمانی که راز معتبر بماند درخواست را حذف می‌کند. ضعف آن چرخه عمر است: راز در نمایه می‌نشیند، چند دستگاه می‌توانند آن را به اشتراک بگذارند و چرخش آن یعنی دست زدن به هر نمایه‌ای که آن را حمل می‌کند. اگر سرویس همچنین یک عامل یک‌بارمصرف یا تأیید تعاملی بخواهد، هیچ تنظیم محلی آن سیاست را به ورود بدون نظارت تبدیل نمی‌کند.
رمز عبوری که یک برنامه ذخیره می‌کند نیز به‌طور خودکار برای پیاده‌سازی دیگری از VPN در دسترس نیست، به همین دلیل همان حساب می‌تواند در یک کارخواه دیگر نپرسد و در دیگری هر بار بپرسد.
گزینه دوم: گواهی دستگاه با کلید اختصاصی خودش
گواهی درخواست را به شکلی قوی‌تر حذف می‌کند، زیرا iPad مالکیت یک کلید خصوصی را اثبات می‌کند نه تکرار یک راز. این مستلزم آن است که گواهی برگ و کلید آن از مسیر ثبت‌نام تأییدشده برسند و دروازه احراز هویت با گواهی را برای آن اتصال بپذیرد. وارد کردن تنها یک گواهی CA به دستگاه مواد اعتماد می‌دهد و هیچ چیز دیگر، که شکستی رایج و بی‌صدا است.
بهای آن کار چرخه عمر است. هر iPad هویت خودش را می‌گیرد تا یک دستگاه گمشده بدون صدور دوباره کل ناوگان باطل شود، و تاریخ‌های انقضا به رویدادهای عملیاتی واقعی تبدیل می‌شوند. گواهی‌ای که بی‌صدا منقضی می‌شود دقیقاً مانند قطعی VPN در صبح روز رخ دادن آن به نظر می‌رسد.
بر اساس آنچه دروازه می‌پذیرد انتخاب کنید، نه بر اساس ترجیح
از مدیر VPN دو پرسش بپرسید: سرویس کدام روش‌های احراز هویت را برای این نوع کارخواه می‌پذیرد، و آیا هیچ‌یک از آن‌ها ورودی تعاملی می‌خواهد. اگر پاسخ فقط گواهی است، ثبت‌نام و تمدید را برنامه‌ریزی کنید. اگر پاسخ رمز عبور به‌همراه عامل دوم است، بپذیرید که درخواست سیاست است و دیگر آن را نقص دستگاه ندانید. اگر هر دو پذیرفته شوند، گواهی در چرخه عمر برای ناوگان تحت نظارت برنده است و رمز عبور در تلاش راه‌اندازی برای چند دستگاه.
روش انتخاب‌شده را در سابقه استقرار کنار شناسه نمایه بنویسید، وگرنه نفر بعدی که به نمایه دست می‌زند روش دیگر را انتخاب می‌کند.
سپس فعال‌سازی را از احراز هویت جدا کنید
VPN On Demand تونل را زمانی باز می‌کند که شرط پیکربندی‌شده مطابقت داشته باشد، چه دامنه DNS باشد چه نوع واسط یا شبکه متصل، و Apple آن را به‌عنوان نیازی‌نداشتن به تعامل کاربر مستند می‌کند. این برای منابع خصوصی مناسب است که باید تنها زمانی در دسترس شوند که چیزی آن‌ها را بخواهد. این همان Always On مدیریت‌شده نیست، که پوشش را اجباری نگه می‌دارد و الزامات نظارت و نمایه خودش را دارد.
اعتبارنامه کارآمد برای هیچ‌کدام کاری نمی‌کند. بسیاری از iPadها گواهی کاملاً سالمی دارند و باز هم منتظر یک لمس دستی می‌مانند چون هیچ قاعده درخواستی هرگز فعال نشده است.
نیاز را به شکلی تحویل دهید که مدیر بتواند بر آن عمل کند: این iPad باید بدون ورودی مکرر کاربر، با این نوع اعتبارنامه و زیر این قواعد فعال‌سازی و قطعی به این منابع برسد. اگر سرویس کنونی نمی‌تواند آن شرایط را برآورده کند، درخواست‌های مکرر همان سیاستی است که مطابق طراحی کار می‌کند.