Enviaches un único perfil VPN a todos e contén o teu contrasinal

O perfil instálase sen problemas, todos se conectan e despois rota o contrasinal da conta. Cada dispositivo que recibiu o ficheiro deixa de autenticarse no mesmo minuto, porque todos levan o mesmo segredo. Esa é a sinal: unha credencial copiada nun artefacto compartido converte un cambio de contrasinal rutineiro nunha caída de toda a flota. Manter a configuración reutilizable e a identidade individual como dúas entregas separadas evítao, e a propia documentación de xestión de dispositivos de Apple trata os perfís como axustes e autorización, non como un almacén de segredos.

O síntoma aparece na primeira rotación

Un ficheiro mobileconfig é XML ou un plist asinado. Calquera que teña unha copia pode decodificar a carga e ler o que contén, así que un valor AuthPassword nun modelo é unha credencial en texto plano cunha extensión de ficheiro pouco habitual. A sinatura cambia a integridade e a orixe, non a lexibilidade. Mentres tanto, as partes que de verdade queres compartir, como o enderezo da pasarela, a identidade esperada do servidor e a política de tráfico, son idénticas para todos.

Ordena os campos antes de editar nada, porque a fronteira non está onde a xente supón.

Separa os axustes compartidos das credenciais individuais

A vía interactiva é deixar fóra o contrasinal e permitir que o esquema de autenticación admitido o solicite. Léo con coidado: borrar un campo que só se parece non é unha conversión universal ao inicio de sesión interactivo. A carga IKEv2 distingue AuthName de AuthPassword, e o método de autenticación decide se unha solicitude é sequera alcanzable; un método baseado en certificado non pedirá ningún contrasinal.

Os certificados tampouco necesitan unha chave compartida

Se a pasarela espera autenticación por certificado, inscribe a identidade de usuario ou de dispositivo prevista mediante o mecanismo aprobado e mantén a chave privada fóra do modelo. Unha chave privada compartida dentro de cada copia dache o mesmo problema de rotación cun radio de impacto peor, porque unha chave non se pode revogar por persoa se non se emitiu por persoa.

Rexistra a emisión, a renovación e a revogación desa identidade xunto coa revisión do perfil. Cando ambas se rastrexan xuntas, unha renovación é unha tarefa programada e non un incidente.

As máquinas desatendidas necesitan unha terceira resposta

Unha máquina que debe conectarse antes de que ninguén inicie sesión non pode responder a unha solicitude. É un requisito distinto de facilitar a configuración a unha persoa con sesión iniciada, e debería resolverse cunha identidade xestionada ou un certificado por dispositivo acordado co propietario da pasarela, non gardando un contrasinal humano nun perfil.

Gardar un contrasinal tampouco elimina un segundo factor. Se a pasarela esixe MFA, un perfil co contrasinal gardado segue fallando ao arrincar, e o fallo parece un perfil roto en lugar dun factor ausente.

Comproba o artefacto que se xerou realmente

Os modelos menten por omisión. Un servizo de xestión ou unha ferramenta de exportación pode inxectar credenciais no ficheiro final, e as cargas de identidade ou as copias de diagnóstico que o acompañan poden levar material que o modelo nunca mostrou. Abre o artefacto xerado antes de decidir quen pode recibilo. Mantén tamén intactos os axustes de emisor de confianza e identidade esperada do servidor; quitar un contrasinal non é motivo para debilitar a confianza na pasarela.

Se un contrasinal real ou unha identidade privada xa viaxou demasiado, revócaa no emisor e substitúea. Editar o modelo de mañá non fai nada polas copias xa instaladas, e esas copias seguirán autenticándose ata que se retire a credencial que levan detrás.

Acepta a entrega cunha identidade de proba

Instala polo fluxo aprobado nun dispositivo inscrito como identidade de proba separada, completa a autenticación prevista e chega ao recurso privado en lugar de só mirar como se ergue o túnel. Confirma que o perfil non contén material de credenciais e despois confirma que a credencial existe no rexistro de identidade que se renovará. Ese emparellamento é a proba de aceptación.

Unha revisión para os axustes compartidos, un rexistro por persoa e unha ruta de revogación que usaches de verdade unha vez.