האם אייפון יכול לעשות שימוש חוזר בפרופיל ה-OpenVPN של ה-Mac שלכם?

חיבור Mac אחד שעובד אינו תבנית לטלפון, גם כאשר שניהם משתמשים באותו חשבון ובאותו שרת. פרופיל ה-Mac עשוי להחזיק תעודות בקבצים נפרדים, להשתמש בהנחיות שהגיוניות רק בשולחן עבודה, ולהסתמך על זהות שהמפעיל הנפיק רק עבור המכונה ההיא. טלפון זקוק לחבילה משלו, לזהות משלו ולנתיב ייבוא משלו. הפרדת שאלת המדיניות משאלת האריזה היא רוב העבודה.

שאלו את המפעיל שני דברים לפני שמעתיקים משהו: האם החשבון רשאי לפעול ביותר ממכשיר אחד, והאם הטלפון צריך לקבל תעודה משלו.

שימוש חוזר הוא קודם שאלת מדיניות, ורק אחר כך שאלה טכנית

תעודת לקוח היא זהות, והצבת זהות אחת על שני מכשירים פירושה שהשרת אינו יכול להבחין ביניהם ביומנים, בכללי גישה או בביטול. יש פריסות שמקבלות זאת ומאפשרות במפורש שמות משותפים כפולים; רובן אינן עושות זאת, והמכשיר השני נדחה או מנתק את הראשון מהרשת. שם משתמש וסיסמה משותפים אינם הופכים תעודה משותפת למתאימה. קבלו את תשובת המפעיל בכתב לפני תכנון של העברה כלשהי.

צד הביקורת חשוב באותה מידה. אם הטלפון אבד, ביטול תעודה שגם ה-Mac משתמש בה מנתק את שני המכשירים, והשארתה בתוקף משאירה טלפון עם גישה פעילה ל-VPN. תעודה לכל מכשיר הופכת את התגובה לאובדן לביטול אחד, וזו בדיוק הסיבה שקיים שלב הרישום הנוסף.

פרופיל ה-Mac ופרופיל הטלפון נבדלים בפועל

בשולחן עבודה, קובץ .ovpn יכול לשבת לצד CA, תעודה ומפתח בקבצים נפרדים, והוא יכול לשאת ווים, סקריפטים ונתיבים שהגיוניים רק במערכת ההפעלה ההיא. לקוח נייד רוצה בדרך כלל את החלקים האלה מוטמעים או מסופקים דרך חבילת PKCS#12 עם סיסמה, והוא מתעלם מהנחיות שאינו יכול למלא או דוחה אותן. העתקת הקובץ של ה-Mac מייצרת לעתים קרובות ייבוא שנכשל, או כזה שמתחבר כשמחצית מהאפשרויות חסרות. הפתרון הוא חבילה ניידת מתוחזקת מהמפעיל, ולא קובץ שערך ידנית ומחק ממנו את השורות המסורבלות.

התייחסו לכל קובץ שמכיל מפתח פרטי כאל אישור גישה ולא כאל תצורה. הורדות פרופיל עוברות בערוצים מוגנים מהסיבה הזו, והעתק שנשאר בשרשור צ'אט או בתיקיית הורדות הוא סוד חי עם שם קובץ ידידותי.

ייבאו דרך התהליך של הטלפון עצמו

התקינו את האפליקציה הרשמית OpenVPN Connect, ואז הביאו את הפרופיל דרך תהליך הייבוא שלה, כקובץ או ככתובת URL לחיבור שהמפעיל מספק. בטלפון לא מנוהל האפליקציה מבקשת רשות להוסיף תצורת VPN, וזה שלב האישור של המערכת עצמה. עקבו אחרי הנחיות החשבון וה-MFA כפי שהן מופיעות במקום למלא מראש ערכים שהושאלו מה-Mac. אם הייבוא הצליח והחיבור לא, הבעיה נמצאת בתוכן הפרופיל ולא בהעברה.

בטלפון מנוהל, ייתכן שהמנהל יגביל ייבוא או עריכת פרופיל דרך ערוץ ניהול המכשירים הניידים. אפליקציה מוגבלת אינה חידה שצריך לנצח; השתמשו בנתיב הרישום של המנהל, מפני שנתיב זה קובע גם מה יקרה כשהטלפון יוחלף.

הוכיחו את הטלפון באופן עצמאי

פתחו משאב פרטי מהטלפון בנתונים סלולריים עם Wi-Fi כבוי, כדי שהבקשה לא תיקח בשקט נתיב אחר. העובדה שה-Mac נשאר מחובר אינה מוכיחה דבר על המסלולים, ה-DNS או קבלת אישורי הגישה של הטלפון. לאחר מכן השוו בין שני המכשירים: שם מארח פנימי שנפתר ב-Mac ונכשל בטלפון מצביע על הגדרות DNS ששונות בין החבילות. רשמו את שם הפרופיל, זהות המכשיר ומי רשם אותו.

כשמשהו נכשל, שמרו את ההודעה המדויקת ואת גרסת האפליקציה. שגיאת ייבוא ושגיאת חיבור מגיעות משכבות שונות, ומיזוגן לדוח אחד מבזבז סבב שלם. פרופיל שמיובא נקי מוכיח רק שהקובץ פוענח.

לאחר הרישום, מחקו את עותקי ההעברה בהתאם למדיניות השמירה שלכם ותעדו נתיב רישום מחדש. טלפון מחליף אמור לקבל זהות חדשה, ולא עותק של הישנה.