VPN no iPad sen pedir contrasinal: certificados ou inicio de sesión gardado
Un contrasinal gardado e un certificado do dispositivo eliminan a petición de xeitos diferentes. Compáreos e despois decida por separado que abre o túnel.
«Deixa de pedirme un contrasinal» en realidade agrupa tres requisitos nunha soa queixa, e unha implantación no iPad respóndelles en lugares distintos. A petición vén da autenticación, o momento vén da activación e a cobertura vén da aplicación das regras. Escolla primeiro a credencial que elimina a petición e despois decida por separado que determina cando se abre o túnel. Mesturar as dúas decisións é xustamente o que fai que un contrasinal gardado acabe nun perfil que aínda espera un toque.
| Saved or shared secret | Device certificate | |
|---|---|---|
| What the user sees | no prompt while the credential stays valid | no prompt, no password to rotate |
| What the admin manages | the secret in the profile and its distribution | enrollment, expiry and revocation per device |
| Typical failure | gateway demands a second factor | expired or revoked certificate |
Dous problemas nunha soa queixa
Unha configuración IKEv2 nativa no iPad pode referirse a un contrasinal ou a un certificado, e a clave AuthenticationMethod decide cal se aplica, mentres que PayloadCertificateUUID nomea a credencial que fornece a identidade. Cal das dúas aceptará a pasarela é unha cuestión de política do servidor, non unha preferencia do cliente. Por iso primeiro cómpre establecer que permite o servizo VPN, porque un iPad non pode negociar ata un método que o outro extremo rexeita.
Só despois ten sentido falar de cando se activa o túnel, que é un conxunto de claves de perfil completamente distinto.
Primeira opción: unha credencial que o iPad pode reutilizar
Un contrasinal de conta gardado ou un secreto compartido satisfán unha pasarela que autentica o usuario ou o grupo, e eliminan a petición mentres o secreto siga sendo válido. A súa debilidade é o ciclo de vida: o secreto está no perfil, varios dispositivos poden compartilo e rotalo obriga a tocar cada perfil que o leva. Se o servizo esixe ademais un factor dun só uso ou unha aprobación interactiva, ningún axuste local converte esa política nun inicio de sesión sen supervisión.
Un contrasinal gardado por unha aplicación tampouco está dispoñible automaticamente para outra implementación de VPN, e por iso a mesma conta pode deixar de pedilo nun cliente e pedilo sempre noutro.
Segunda opción: un certificado do dispositivo coa súa propia clave
Un certificado elimina a petición dun xeito máis firme, porque o iPad demostra a posesión dunha clave privada en lugar de repetir un secreto. Iso esixe que o certificado folla e a súa clave cheguen polo camiño de rexistro aprobado, e que a pasarela acepte a autenticación por certificado para esa conexión. Importar só un certificado de CA dálle ao dispositivo material de confianza e nada máis, o que é un fallo habitual e silencioso.
O prezo é traballo de ciclo de vida. Cada iPad recibe a súa propia identidade para que un dispositivo perdido se poida revogar sen reemitir todo o parque, e as datas de caducidade convértense en acontecementos operativos reais. Un certificado que caduca en silencio parece exactamente unha caída de VPN a mañá en que ocorre.
Escolla polo que acepta a pasarela, non pola preferencia
Pregunte ao administrador de VPN dúas cousas: que métodos de autenticación acepta o servizo para este tipo de cliente, e se algún deles require entrada interactiva. Se a resposta é só certificado, planifique o rexistro e a renovación. Se a resposta é contrasinal máis un segundo factor, acepte que a petición é política e deixe de tratala como un fallo do dispositivo. Se se aceptan ambos, o certificado gaña en ciclo de vida para un parque supervisado e o contrasinal gaña en esforzo de configuración para uns poucos dispositivos.
Escriba o método escollido no rexistro de despregamento xunto ao identificador do perfil, porque se non a seguinte persoa que toque o perfil escollerá o outro.
Despois separe a activación da autenticación
O VPN On Demand abre o túnel cando coincide unha condición configurada, sexa un dominio DNS, un tipo de interface ou unha rede unida, e Apple documéntao como algo que non require interacción do usuario. Iso encaixa ben con recursos privados que só deben ser accesibles cando algo os pide. Non é o mesmo que o Always On xestionado, que mantén a cobertura aplicada e trae os seus propios requisitos de supervisión e de perfil.
Unha credencial que funciona non fai nada para ningún dos dous casos. Moitos iPads teñen un certificado perfectamente válido e aínda así esperan un toque manual porque ningunha regra a demanda se activou nunca.
Entregue o requisito nunha forma sobre a que un administrador poida actuar: este iPad debe chegar a estes recursos sen entrada recorrente do usuario, con este tipo de credencial e baixo estas regras de activación e de incidencia. Se o servizo actual non pode cumprir esas condicións, as peticións repetidas son a política que funciona tal como se deseñou.