یک نمایه VPN را برای همه فرستادید و رمز عبور شما در آن است
نمایه مشترک Apple VPN را فقط برای تنظیمات نگه دارید و به هر کس اعتبارنامه خودش را بدهید. تحویل را جدا کنید و سپس رمزهای عبور لو رفته را نزد صادرکننده جایگزین کنید.
نمایه بی‌دردسر نصب می‌شود، همه متصل می‌شوند و سپس رمز عبور حساب عوض می‌شود. هر دستگاهی که فایل را دریافت کرده است در همان دقیقه احراز هویت را متوقف می‌کند، چون همه همان راز را حمل می‌کنند. نشانه همین است: یک اعتبارنامه که در یک مصنوع مشترک کپی شده است، تغییر رمز عبور روزمره را به یک قطعی در کل ناوگان تبدیل می‌کند. جدا نگه داشتن پیکربندی قابل استفاده مجدد و هویت فردی به‌عنوان دو تحویل مستقل از این جلوگیری می‌کند، و مستندات مدیریت دستگاه خود Apple نمایه‌ها را تنظیمات و مجوز می‌داند، نه مخزن راز.
نشانه در نخستین گردش ظاهر می‌شود
فایل mobileconfig یک XML یا plist امضاشده است. هر کس نسخه‌ای داشته باشد می‌تواند محتوای آن را رمزگشایی کند و بخواند، بنابراین مقدار AuthPassword در یک قالب، اعتبارنامه‌ای به‌صورت متن ساده با پسوند فایل غیرمعمول است. امضا یکپارچگی و منشأ را تغییر می‌دهد، نه خوانایی را. در همین حال، بخش‌هایی که واقعاً می‌خواهید به اشتراک بگذارید، مانند نشانی دروازه، هویت مورد انتظار سرور و سیاست ترافیک، برای همه یکسان است.
پیش از ویرایش هر چیزی، فیلدها را مرتب کنید، زیرا مرز جایی نیست که مردم گمان می‌کنند.
تنظیمات مشترک را از اعتبارنامه‌های فردی جدا کنید
| Item | Shared profile | Individual record |
|---|---|---|
| Gateway address, expected server identity | yes | no |
Traffic policy, IncludeAllNetworks, exclusions | yes | no |
| User password or account token | no | yes |
| Device identity or certificate | no | yes |
مسیر تعاملی این است که رمز عبور را بیرون بگذارید و بگذارید ترتیب احراز هویت پشتیبانی‌شده آن را بخواهد. این را دقیق بخوانید: حذف فیلدی که فقط شبیه است، تبدیل همگانی به ورود تعاملی نیست. محتوای IKEv2 میان AuthName و AuthPassword تفاوت می‌گذارد، و روش احراز هویت تعیین می‌کند که آیا درخواست اصلاً قابل دسترسی است؛ روش مبتنی بر گواهی اصلاً رمز عبور نمی‌خواهد.
گواهی‌ها هم به کلید مشترک نیاز ندارند
اگر دروازه احراز هویت با گواهی را انتظار دارد، هویت کاربر یا دستگاه مورد نظر را از طریق سازوکار تأییدشده ثبت کنید و کلید خصوصی را بیرون از قالب نگه دارید. یک کلید خصوصی مشترک در هر نسخه همان مشکل گردش را با شعاع اثر بدتر به شما می‌دهد، زیرا کلید را نمی‌توان برای هر شخص باطل کرد مگر آنکه برای هر شخص صادر شده باشد.
صدور، تمدید و ابطال آن هویت را در کنار بازبینی نمایه ثبت کنید. وقتی هر دو با هم پیگیری شوند، تمدید یک کار زمان‌بندی‌شده است، نه یک حادثه.
دستگاه‌های بدون نظارت به پاسخ سومی نیاز دارند
دستگاهی که باید پیش از ورود هر کس متصل شود نمی‌تواند به یک درخواست پاسخ دهد. این الزامی متفاوت از آسان‌تر کردن راه‌اندازی برای فرد واردشده است و باید با هویت مدیریت‌شده یا گواهی هر دستگاه که با مالک دروازه توافق شده حل شود، نه با ذخیره رمز عبور انسانی در نمایه.
ذخیره رمز عبور عامل دوم را هم حذف نمی‌کند. اگر دروازه MFA بخواهد، نمایه‌ای با رمز عبور ذخیره‌شده باز هم در بوت شکست می‌خورد، و شکست شبیه نمایه خراب به نظر می‌رسد نه عامل غایب.
مصنوعی را که واقعاً تولید شده بررسی کنید
قالب‌ها با حذف دروغ می‌گویند. یک سرویس مدیریت یا ابزار برون‌بری می‌تواند اعتبارنامه‌ها را به فایل نهایی تزریق کند، و محتواهای هویتی همراه یا نسخه‌های تشخیصی می‌توانند موادی را حمل کنند که قالب هرگز نشان نداده است. پیش از تصمیم درباره اینکه چه کسی می‌تواند آن را دریافت کند، مصنوع تولیدشده را باز کنید. تنظیمات صادرکننده مورد اعتماد و هویت مورد انتظار سرور را هم دست‌نخورده نگه دارید؛ حذف رمز عبور دلیلی برای تضعیف اعتماد به دروازه نیست.
اگر رمز عبور واقعی یا هویت خصوصی از قبل بیش از حد سفر کرده است، آن را نزد صادرکننده باطل و جایگزین کنید. ویرایش قالب فردا هیچ کاری برای نسخه‌های نصب‌شده انجام نمی‌دهد، و آن نسخه‌ها تا زمانی که اعتبارنامه پشتشان پس گرفته نشود به احراز هویت ادامه می‌دهند.
تحویل را با یک هویت آزمایشی بپذیرید
از طریق جریان تأییدشده روی دستگاهی که به‌عنوان هویت آزمایشی جداگانه ثبت شده نصب کنید، احراز هویت مورد نظر را کامل کنید و به منبع خصوصی برسید، نه فقط تماشای بالا آمدن تونل. تأیید کنید که نمایه هیچ ماده اعتبارنامه‌ای ندارد، سپس تأیید کنید که اعتبارنامه در سابقه هویتی که تمدید خواهد شد وجود دارد. همین جفت، آزمون پذیرش است.
یک بازبینی برای تنظیمات مشترک، یک سابقه برای هر شخص، و مسیر ابطالی که واقعاً یک بار از آن استفاده کرده‌اید.