Hat in iPad syn eigen VPN-klantssertifikaat nedich?

In nije iPad docht mei oan it team, en it fluchste paad is it besteande kliïntsertifikaat te eksportearjen en op 'e tablet te ynstallearjen. Dat wurket oant immen fuortgiet, in apparaat ferliest of in audit freget dy't seit hokker apparaat wannear ferbûn wie. It beslút giet net oer it sertifikaatbestân, mar oer identiteit: oft elk apparaat op syn eigen autorisearre en weromroppen wurde kin. Kosten en behearwurk beslisse it antwurd, en beide binne lytser as se lykje.

Dielde útjouwer, aparte identiteiten

Elk apparaat kin itselde sertifikaatautoriteit fertrouwe en oan deselde gateway ferbine, wylst it in oare kliïntidentiteit hat. De útjouwer is in fertrouwensanker, wylst de identiteit in kaaispear is wêrfan't de tsjinner it ûnderwerp oan in belied keppelt. Krekt it fermingen fan dy beide makket in dield sertifikaat skamteleas lykje. It bliuwt skamteleas oant immen witte moat hokker apparaat in sesje iepene hat.

It dielen fan 'e útjouwer besparret konfiguraasjewurk en feroaret neat oan 'e ferantwurding per apparaat. It dielen fan 'e identiteit kloppet elk apparaat yn ien weromroppen ienheid: ien weromroppe ropt allegear werom, en in ferfanging autorisearje autorisearret elke kopy fan 'e kaai dy't ea makke is. Dy ruil is it wurdich eksplisyt te meitsjen ynstee fan in bestân te kopiearjen om't it freedtejûn rapper is.

Wannear't in twadde sertifikaat tefolle kostet

Registraasje per apparaat kostet in stap: in beheard profile, in SCEP-oanfraach of in begeliede ymport mei in ienmalich wachtwurd. It kostet ek in plak om searjenûmers en ferfaldatums by te hâlden, it diel dat de measte ynsetten ferjitte oant it earste sertifikaat ferfalt. Beide kosten binne ienmalich, en beide krimpe sadree't de registraasjestream se automatisearret.

De kosten binne echt foar in húshâlding mei twa tablets en ien brûker, dêr't in dielde identiteit in ridlike beslissing is dy't yn ien sin dokumintearre wurdt. It is net ridlik foar in tsjinst dêr't tagong per persoan of per apparaat weromlutsen wurde moat, om't it weromroppferhaal de hiele reden is om sertifikaten ynstee fan in wachtwurd te brûken. Beoardielje de ynset troch hoe faak apparaten fan hân feroarje, net troch hoefolle apparaten der hjoed binne.

Registrearje it apparaat, kopiearje de kaai net

Moderne platfoarms hâlde privee kaais yn beskerme opslach, en guon markearje se by ûntwerp as net-eksportearber. Krekt dy eigenskip makket kopiearjen fan it begjin ôf ûnmooglik, en dat is ek wêrom't in eksportearre bondel fan in laptop net samar op in tablet werom te ymportearjen is op hokker stipe wize dan ek. It dochs besykje leveret in profyl dat skjin ynstallearret en dan nea autentisearret.

Brûk de registraasjemetoade dy't de ynset al stipet: in beheard identiteitsprofyl, in SCEP-tsjinst of in op akkount basearre stream dy't in nije kaai op it apparaat útjout. De privee kaai fan 'e sertifikaatautoriteit ferspriede om in ûntbrekkende identiteit op te lossen is in oare flater mei in folle gruttere ynfloedsône. De autoriteit jouwt bewiisstikken út en moat nea nei it einpunt reizgje.

Kontrolearje it weromroppen foardat jo antwurdzje

Foardat jo de dielde opsje kieze, beskriuw hoe't weromroppen der op 'e minste dei útsjocht. As it antwurd ien aksje is dy't ferskate apparaten rekket, hat it ûntwerp al tsjin jo besletten.

openssl pkcs12 -in client.p12 -info -noout
openssl x509 -in client.pem -noout -subject -issuer -serial -dates
openssl verify -CAfile ca.pem client.pem

Undersykje it materiaal dat jo wier hawwe: oft der in privee kaai is, wat it ûnderwerp seit en oft it searjenûmer apart weromroppen wurde kin. In sertifikaatbestân sûnder syn kaai kin neat autentisearje, en dêrom mislearje guon kopyearre identiteiten by de earste ferbining.

In app fan 'e tablet wiskje is net weromroppen, en de tsjinner bliuwt de identiteit akseptearjen oant immen dy útskeakelet. Skriuw dy sin yn it runbook foardat it earste apparaat registrearre wurdt.