iPad पर पासवर्ड पूछे बिना VPN: सर्टिफ़िकेट या सहेजा गया लॉगिन
सहेजा गया पासवर्ड और डिवाइस सर्टिफ़िकेट पूछताछ को अलग-अलग तरीकों से हटाते हैं। दोनों की तुलना करें, फिर अलग से तय करें कि टनल क्या खोलता है।
«मुझसे पासवर्ड पूछना बंद करें» वास्तव में तीन आवश्यकताओं को एक शिकायत में समेटता है, और iPad पर तैनाती उनका जवाब अलग-अलग जगहों पर देती है। पूछताछ प्रमाणीकरण से आती है, समय सक्रियण से, और कवरेज प्रवर्तन से। पहले वह क्रेडेंशियल चुनें जो पूछताछ हटाता है, फिर अलग से तय करें कि टनल कब खुलता है। इन दोनों फ़ैसलों को मिलाना ही वह कारण है जिससे सहेजा गया पासवर्ड ऐसी प्रोफ़ाइल पर रह जाता है जो अब भी एक स्पर्श का इंतज़ार करती है।
| Saved or shared secret | Device certificate | |
|---|---|---|
| What the user sees | no prompt while the credential stays valid | no prompt, no password to rotate |
| What the admin manages | the secret in the profile and its distribution | enrollment, expiry and revocation per device |
| Typical failure | gateway demands a second factor | expired or revoked certificate |
एक शिकायत में दो समस्याएँ
iPad पर मूल IKEv2 कॉन्फ़िगरेशन पासवर्ड या सर्टिफ़िकेट का संदर्भ दे सकता है, और कुंजी AuthenticationMethod तय करती है कि कौन लागू होता है, जबकि PayloadCertificateUUID उस क्रेडेंशियल का नाम देता है जो पहचान देता है। गेटवे इनमें से किसे स्वीकार करेगा यह सर्वर नीति का सवाल है, क्लाइंट की पसंद नहीं। इसलिए पहले यह तय करना है कि VPN सेवा क्या अनुमति देती है, क्योंकि iPad उस तरीके तक बातचीत नहीं कर सकता जिसे दूसरा सिरा अस्वीकार कर दे।
इसके बाद ही टनल कब सक्रिय होता है इस पर बात करना अर्थपूर्ण है, जो प्रोफ़ाइल कुंजियों का बिल्कुल अलग समूह है।
पहला विकल्प: ऐसा क्रेडेंशियल जिसे iPad दोबारा इस्तेमाल कर सके
सहेजा गया खाता पासवर्ड या साझा रहस्य ऐसे गेटवे को संतुष्ट करता है जो उपयोगकर्ता या समूह का प्रमाणीकरण करता है, और जब तक रहस्य वैध रहे पूछताछ हटाता है। इसकी कमज़ोरी जीवनचक्र है: रहस्य प्रोफ़ाइल में बैठा है, कई डिवाइस इसे साझा कर सकते हैं, और इसे बदलने का मतलब है हर उस प्रोफ़ाइल को छूना जो इसे लेकर चलती है। अगर सेवा इसके अतिरिक्त एकबारगी कारक या इंटरैक्टिव स्वीकृति माँगती है, तो कोई स्थानीय सेटिंग उस नीति को बिना निगरानी वाले लॉगिन में नहीं बदलती।
एक ऐप का सहेजा गया पासवर्ड भी अपने आप किसी दूसरे VPN कार्यान्वयन के लिए उपलब्ध नहीं होता, इसीलिए वही खाता एक क्लाइंट में पूछना बंद कर सकता है और दूसरे में हर बार पूछता रह सकता है।
दूसरा विकल्प: अपनी कुंजी वाला डिवाइस सर्टिफ़िकेट
सर्टिफ़िकेट पूछताछ को अधिक मज़बूती से हटाता है, क्योंकि iPad रहस्य दोहराने के बजाय निजी कुंजी के स्वामित्व का प्रमाण देता है। इसके लिए ज़रूरी है कि पत्र सर्टिफ़िकेट और उसकी कुंजी स्वीकृत नामांकन मार्ग से आएँ, और गेटवे उस कनेक्शन के लिए सर्टिफ़िकेट प्रमाणीकरण स्वीकार करे। केवल CA सर्टिफ़िकेट आयात करना डिवाइस को विश्वास सामग्री देता है और कुछ नहीं, जो एक आम और ख़ामोश विफलता है।
क़ीमत जीवनचक्र का काम है। हर iPad को अपनी पहचान मिलती है ताकि खोया डिवाइस पूरे बेड़े को दोबारा जारी किए बिना रद्द किया जा सके, और समाप्ति तिथियाँ वास्तविक परिचालन घटनाएँ बन जाती हैं। ख़ामोशी से समाप्त होने वाला सर्टिफ़िकेट उसी सुबह VPN बाधा जैसा दिखता है जिस दिन ऐसा होता है।
पसंद के बजाय इस आधार पर चुनें कि गेटवे क्या स्वीकार करता है
VPN प्रशासक से दो सवाल पूछें: इस क्लाइंट प्रकार के लिए सेवा कौन से प्रमाणीकरण तरीके स्वीकार करती है, और क्या इनमें से किसी के लिए इंटरैक्टिव इनपुट ज़रूरी है। अगर जवाब केवल सर्टिफ़िकेट है, तो नामांकन और नवीनीकरण की योजना बनाएँ। अगर जवाब पासवर्ड के साथ दूसरा कारक है, तो मान लें कि पूछताछ नीति है और इसे डिवाइस की ख़राबी मानना बंद करें। अगर दोनों स्वीकार्य हैं, तो निगरानी वाले बेड़े के लिए जीवनचक्र में सर्टिफ़िकेट जीतता है और कुछ डिवाइसों के लिए सेटअप की मेहनत में पासवर्ड।
चुना गया तरीका प्रोफ़ाइल पहचानकर्ता के साथ तैनाती रिकॉर्ड में लिखें, वरना प्रोफ़ाइल को छूने वाला अगला व्यक्ति दूसरा चुन लेगा।
फिर सक्रियण को प्रमाणीकरण से अलग करें
VPN On Demand टनल तब खोलता है जब कॉन्फ़िगर की गई शर्त मेल खाती है, चाहे वह DNS डोमेन हो, इंटरफ़ेस का प्रकार हो या जुड़ा नेटवर्क, और Apple इसे ऐसा बताता है जिसके लिए उपयोगकर्ता की भागीदारी ज़रूरी नहीं। यह निजी संसाधनों के लिए उपयुक्त है जो केवल तभी पहुँच योग्य होने चाहिए जब कोई चीज़ उन्हें माँगे। यह प्रबंधित Always On जैसा नहीं है, जो कवरेज को लागू रखता है और अपनी निगरानी व प्रोफ़ाइल शर्तें लाता है।
काम करने वाला क्रेडेंशियल दोनों में से किसी के लिए कुछ नहीं करता। कई iPads के पास पूरी तरह अच्छा सर्टिफ़िकेट होता है और वे फिर भी हाथ से स्पर्श का इंतज़ार करते हैं क्योंकि कोई माँग-आधारित नियम कभी सक्रिय नहीं हुआ।
आवश्यकता ऐसे रूप में सौंपें जिस पर प्रशासक काम कर सके: इस iPad को इन संसाधनों तक बिना बार-बार उपयोगकर्ता इनपुट के, इस प्रकार के क्रेडेंशियल के साथ, और इन सक्रियण व बाधा नियमों के तहत पहुँचना चाहिए। अगर मौजूदा सेवा वे शर्तें पूरी नहीं कर सकती, तो बार-बार पूछताछ वह नीति है जो योजना के अनुसार काम कर रही है।