VPN op iPad sûnder wachtwurdfragen: sertifikaten as bewarre oanmelding
In bewarre wachtwurd en in apparaatsertifikaat helje de fraach op ferskate manieren fuort. Ferlykje se en beslute dêrnei apart wat de tunnel iepenet.
«Hâld op om my om in wachtwurd te freegjen» bondelt eins trije easken yn ien klacht, en in iPad-útrulling beantwurdet se op ferskate plakken. De fraach komt fan autentikaasje, de timing fan aktivearring en de dekking fan hanthavening. Kies earst it oanmeldgegevens dat de fraach fuorthellet, en beslute dêrnei apart wat bepaalt wannear't de tunnel iepengiet. Dy twa besluten trochinoar helje is krekt hoe't in bewarre wachtwurd belânet op in profyl dat noch op in tik wachtet.
| Saved or shared secret | Device certificate | |
|---|---|---|
| What the user sees | no prompt while the credential stays valid | no prompt, no password to rotate |
| What the admin manages | the secret in the profile and its distribution | enrollment, expiry and revocation per device |
| Typical failure | gateway demands a second factor | expired or revoked certificate |
Twa problemen yn ien klacht
In native IKEv2-konfiguraasje op iPad kin ferwize nei in wachtwurd of in sertifikaat, en de kaai AuthenticationMethod beslút hokker jildt, wylst PayloadCertificateUUID it oanmeldgegevens neamt dat de identiteit leveret. Hokker fan beide de gateway akseptearret is in kwestje fan serverbelied, net fan klantfoarkar. Dêrom moat earst fêststeld wurde wat de VPN-tsjinst tastiet, want in iPad kin him net nei in metoade taûnderhannelje dy't de oare kant wegeret.
Pas dêrnei hat it sin om te praten oer wannear't de tunnel aktivearret, dat is in hiel oare set profylkaaien.
Opsje ien: oanmeldgegevens dêr't de iPad wer gebrûk fan meitsje kin
In bewarre akkountwachtwurd of in dield geheim befrediget in gateway dy't de brûker of de groep autentisearret, en it hellet de fraach fuort salang't it geheim jildich bliuwt. De swakte is de libbenssyklus: it geheim sit yn it profyl, ferskate apparaten kinne it diele, en rotasjon betsjut elk profyl oanreitsje dat it draacht. As de tsjinst ek in ienmalige faktor of in ynteraktive goedkarring easket, makket gjin pleatslike ynstelling dat belied ta in ûnbewekke oanmelding.
In wachtwurd dat troch ien app bewarre is, is ek net automatysk beskikber foar in oare VPN-ymplemintaasje, en dêrom kin itselde akkount ophâlde mei freegjen by ien klant en by in oare elke kear freegje.
Opsje twa: in apparaatsertifikaat mei syn eigen kaai
In sertifikaat hellet de fraach op in sterkere manier fuort, want de iPad bewissiget it besit fan in priveekaai yn stee fan in geheim te werheljen. Dat freget dat it bladsertifikaat en syn kaai fia it goedkarde ynskriuwpaad oankomme, en dat de gateway sertifikaatautentikaasje foar dy ferbining akseptearret. Allinnich in CA-sertifikaat ymportearje jout it apparaat fertrouwensmateriaal en fierders neat, wat in gewoane en stille flater is.
De priis is wurk oan de libbenssyklus. Eltse iPad krijt syn eigen identiteit sadat in ferlern apparaat weromroppen wurde kin sûnder de hiele float opnij út te jaan, en ferfaldatums wurde echte operasjonele barren. In sertifikaat dat stil ferfalt liket krekt op in VPN-steuring de moarn dat it bart.
Kies nei wat de gateway akseptearret, net nei foarkar
Freegje de VPN-administrator twa dingen: hokker autentikaasjemetoaden de tsjinst foar dit soart klant akseptearret, en oft ien fan harren ynteraktive ynfier freget. As it antwurd allinnich sertifikaat is, plan dan ynskriuwing en fernijing. As it antwurd wachtwurd plus in twadde faktor is, akseptearje dan dat de fraach belied is en hâld op om it as in apparaatflater te behanneljen. As beide akseptearre wurde, wint it sertifikaat op libbenssyklus foar in bewekke float en it wachtwurd op ynstelmoeite foar in hantsjefol apparaten.
Skriuw de keazen metoade yn it útrullingsrekord njonken de profylidentifikaasje, oars kiest de folgjende persoan dy't it profyl oanreitset de oare.
Skied dan aktivearring fan autentikaasje
VPN On Demand iepenet de tunnel as in konfigurearre betingst oerienkomt, itsij in DNS-domein, in ynterfacetyp of in ferbûn netwurk, en Apple dokumintearret it as eat dat gjin brûkersynteraksje freget. Dat past goed by privee boarnen dy't allinnich tagonklik wurde moatte as eat derom freget. It is net itselde as beheard Always On, dat de dekking hanthavene hâldt en syn eigen easken foar tafersjoch en profyl meinimt.
In wurkjend oanmeldgegevens docht foar gjin fan beide wat. In soad iPads hawwe in folslein goed sertifikaat en wachtsje dochs op in hânmjittige tik, om't gjin regel op oanfraach ea aktivearre is.
Jou de eask oer yn in foarm dêr't in administrateur op hanjele kin: dizze iPad moat dizze boarnen berikke sûnder weromkommende brûkersynfier, mei dit soart oanmeldgegevens en ûnder dizze regels foar aktivearring en steuring. As de hjoeddeiske tsjinst net oan dy betingsten foldwaan kin, binne werombrochte fragen it belied dat wurket sa't it ûntwurpen is.