iPadin VPN ilman salasanakyselyitä: varmenteet vai tallennettu kirjautuminen
Tallennettu salasana ja laitevarmenne poistavat kyselyn eri tavoin. Vertaa niitä ja valitse sitten erikseen, mikä avaa tunnelin.
»Lopeta salasanan kysyminen« kokoaa itse asiassa kolme vaatimusta yhteen valitukseen, ja iPad-käyttöönotto vastaa niihin eri kohdissa. Kysely tulee todennuksesta, ajoitus aktivoinnista ja kattavuus valvonnasta. Valitse ensin tunnistetieto, joka poistaa kyselyn, ja päätä sitten erikseen, mikä ratkaisee, milloin tunneli avautuu. Näiden kahden päätöksen sekoittaminen johtaa juuri siihen, että tallennettu salasana päätyy profiiliin, joka odottaa yhä napautusta.
| Saved or shared secret | Device certificate | |
|---|---|---|
| What the user sees | no prompt while the credential stays valid | no prompt, no password to rotate |
| What the admin manages | the secret in the profile and its distribution | enrollment, expiry and revocation per device |
| Typical failure | gateway demands a second factor | expired or revoked certificate |
Kaksi ongelmaa yhdessä valituksessa
iPadin natiivi IKEv2-kokoonpano voi viitata salasanaan tai varmenteeseen, ja avain AuthenticationMethod ratkaisee, kumpi pätee, kun taas PayloadCertificateUUID nimeää tunnistetiedon, joka toimittaa identiteetin. Se, kumman yhdyskäytävä hyväksyy, on palvelimen käytäntökysymys eikä asiakkaan mieltymys. Ensimmäinen selvitettävä asia on siis se, mitä VPN-palvelu sallii, koska iPad ei voi neuvotella itselleen menetelmää, jonka toinen pää hylkää.
Vasta sen jälkeen on mielekästä puhua siitä, milloin tunneli aktivoituu, sillä se on täysin eri joukko profiiliavaimia.
Vaihtoehto yksi: tunnistetieto, jonka iPad voi ottaa uudelleen käyttöön
Tallennettu tilisalasana tai jaettu salaisuus tyydyttää yhdyskäytävän, joka todentaa käyttäjän tai ryhmän, ja se poistaa kyselyn niin kauan kuin salaisuus pysyy voimassa. Heikkous on elinkaari: salaisuus on profiilissa, useat laitteet voivat jakaa sen, ja vaihtaminen tarkoittaa jokaisen sen sisältävän profiilin käsittelyä. Jos palvelu vaatii lisäksi kertakäyttöisen tekijän tai vuorovaikutteisen hyväksynnän, mikään paikallinen asetus ei muuta sitä käytäntöä valvomattomaksi kirjautumiseksi.
Yhden sovelluksen tallentama salasana ei myöskään ole automaattisesti toisen VPN-toteutuksen käytettävissä, minkä vuoksi sama tili voi lakata kysymästä yhdessä asiakkaassa ja kysyä joka kerta toisessa.
Vaihtoehto kaksi: laitevarmenne ja sen oma avain
Varmenne poistaa kyselyn vahvemmalla tavalla, koska iPad osoittaa hallitsevansa yksityistä avainta sen sijaan, että toistaisi salaisuuden. Se edellyttää että lehtivarmenne ja sen avain saapuvat hyväksyttyä rekisteröintireittiä pitkin, ja että yhdyskäytävä hyväksyy varmenteen todentamisen kyseiselle yhteydelle. Pelkän CA-varmenteen tuominen antaa laitteelle luottamusmateriaalin eikä mitään muuta, mikä on yleinen ja hiljainen virhe.
Hinta on elinkaarityötä. Jokainen iPad saa oman identiteettinsä, jotta kadonnut laite voidaan peruuttaa ilman koko laivaston uudelleenmyöntämistä, ja vanhenemispäivistä tulee todellisia operatiivisia tapahtumia. Varmenne, joka vanhenee hiljaa, näyttää täsmälleen VPN-katkokselta sinä aamuna, jolloin se tapahtuu.
Valitse sen mukaan, mitä yhdyskäytävä hyväksyy, ei mieltymyksen mukaan
Kysy VPN-ylläpitäjältä kaksi asiaa: mitkä todennusmenetelmät palvelu hyväksyy tälle asiakastyypille ja vaatiiko jokin niistä vuorovaikutteista syötettä. Jos vastaus on vain varmenne, suunnittele rekisteröinti ja uusinta. Jos vastaus on salasana ja toinen tekijä, hyväksy, että kysely on käytäntöä, äläkä enää kohtele sitä laitevikana. Jos molemmat hyväksytään, varmenne voittaa elinkaaressa valvotulle laivastolle ja salasana asennustyössä muutamalle laitteelle.
Kirjaa valittu menetelmä käyttöönoton tietueeseen profiilin tunnisteen viereen, sillä muuten seuraava profiiliin koskeva valitsee toisen.
Erota sitten aktivointi ja todennus
VPN On Demand avaa tunnelin, kun määritetty ehto täyttyy, oli se sitten DNS-verkkotunnus, liitännän tyyppi tai liittynyt verkko, ja Apple dokumentoi sen vaativan ei käyttäjän vuorovaikutusta. Se sopii hyvin yksityisille resursseille, joiden tulee olla saavutettavissa vain, kun jokin pyytää niitä. Se ei ole sama kuin hallittu Always On, joka pitää kattavuuden valvottuna ja tuo mukanaan omat valvonta- ja profiilivaatimuksensa.
Toimiva tunnistetieto ei tee kummallekaan mitään. Monella iPadilla on täysin kelvollinen varmenne ja ne odottavat silti manuaalista napautusta, koska mikään on-demand-sääntö ei koskaan lauennut.
Luovuta vaatimus muodossa, jolla ylläpitäjä voi toimia: tämän iPadin pitää saavuttaa nämä resurssit ilman toistuvaa käyttäjän syötettä, tällä tunnistetietotyypillä ja näiden aktivointi- ja katkossääntöjen mukaisesti. Jos nykyinen palvelu ei pysty täyttämään näitä ehtoja, toistuvat kyselyt ovat käytäntö, joka toimii suunnitellusti.