VPN iPaden jelszókérés nélkül: tanúsítványok vagy mentett bejelentkezés
A mentett jelszó és az eszköztanúsítvány különböző módon szünteti meg a kérést. Hasonlítsa össze őket, majd külön döntse el, mi nyitja az alagutat.
A «Hagyd abba a jelszókérdezést» valójában három követelményt von össze egy panaszban, és az iPaden történő telepítés különböző helyeken válaszol rájuk. A kérés a hitelesítésből jön, az időzítés az aktiválásból, a lefedettség pedig a kikényszerítésből. Először azt a hitelesítő adatot válassza, amely megszünteti a kérést, majd külön döntse el, mi határozza meg, mikor nyílik az alagút. A két döntés összemosása pontosan azért végződik mentett jelszóval egy olyan profilban, amely még mindig egy koppintásra vár.
| Saved or shared secret | Device certificate | |
|---|---|---|
| What the user sees | no prompt while the credential stays valid | no prompt, no password to rotate |
| What the admin manages | the secret in the profile and its distribution | enrollment, expiry and revocation per device |
| Typical failure | gateway demands a second factor | expired or revoked certificate |
Két probléma egyetlen panaszban
Az iPaden egy natív IKEv2-konfiguráció hivatkozhat jelszóra vagy tanúsítványra, és a AuthenticationMethod kulcs dönti el, melyik érvényes, miközben a PayloadCertificateUUID megnevezi a hitelesítő adatot, amely az identitást adja. Hogy melyiket fogadja el az átjáró, az kiszolgálószabályzat kérdése, nem klienspreferencia. Ezért először azt kell tisztázni, mit engedélyez a VPN-szolgáltatás, mert az iPad nem tud olyan módszerig tárgyalni, amelyet a másik fél elutasít.
Csak ezután van értelme arról beszélni, mikor aktiválódik az alagút, ami teljesen más profilkulcs-készlet.
Első lehetőség: olyan hitelesítő adat, amelyet az iPad újra használhat
A mentett fiókjelszó vagy a megosztott titok kielégít egy olyan átjárót, amely a felhasználót vagy a csoportot hitelesíti, és megszünteti a kérést mindaddig, amíg a titok érvényes. Gyengesége az életciklus: a titok a profilban van, több eszköz megoszthatja, a cseréje pedig minden őt hordozó profil megérintését jelenti. Ha a szolgáltatás emellett egyszeri tényezőt vagy interaktív jóváhagyást kér, semmilyen helyi beállítás nem alakítja azt a szabályzatot felügyelet nélküli bejelentkezéssé.
Az egyik alkalmazás által mentett jelszó sem érhető el automatikusan egy másik VPN-megvalósítás számára, ezért ugyanaz a fiók az egyik kliensben abbahagyhatja a kérést, a másikban pedig minden alkalommal kérheti.
Második lehetőség: eszköztanúsítvány saját kulccsal
A tanúsítvány erősebb módon szünteti meg a kérést, mert az iPad a privát kulcs birtoklását bizonyítja a titok ismétlése helyett. Ehhez az kell, hogy a levéltanúsítvány és a kulcsa a jóváhagyott regisztrációs úton érkezzen, és az átjáró fogadja el a tanúsítványos hitelesítést ahhoz a kapcsolathoz. Csak egy CA-tanúsítvány importálása bizalmi anyagot ad az eszköznek és semmi mást, ami gyakori és csendes hiba.
Az ár az életciklus-munka. Minden iPad saját identitást kap, hogy egy elveszett eszköz visszavonható legyen a teljes flotta újrakibocsátása nélkül, a lejárati dátumok pedig valódi üzemeltetési eseményekké válnak. A csendesen lejáró tanúsítvány pontosan úgy néz ki, mint egy VPN-kiesés azon a reggelen, amikor bekövetkezik.
A preferencia helyett aszerint válasszon, mit fogad el az átjáró
Kérdezzen meg két dolgot a VPN-adminisztrátortól: milyen hitelesítési módszereket fogad el a szolgáltatás ennél az ügyféltípusnál, és hogy ezek közül bármelyik igényel-e interaktív bevitelt. Ha a válasz csak tanúsítvány, tervezze meg a regisztrációt és a megújítást. Ha a válasz jelszó plusz második tényező, fogadja el, hogy a kérés szabályzat, és ne tekintse többé eszközhibának. Ha mindkettő elfogadott, a tanúsítvány nyer az életciklusban egy felügyelt flottánál, a jelszó pedig a telepítési erőfeszítésben néhány eszköznél.
Írja a választott módszert a telepítési nyilvántartásba a profilazonosító mellé, különben a profilhoz következőként nyúló személy a másikat választja.
Utána válassza szét az aktiválást a hitelesítéstől
A VPN On Demand akkor nyitja meg az alagutat, amikor egy beállított feltétel illeszkedik, legyen az DNS-tartomány, interfésztípus vagy csatlakozott hálózat, és az Apple úgy dokumentálja, hogy nem igényel felhasználói beavatkozást. Ez jól illik azokhoz a privát erőforrásokhoz, amelyeknek csak akkor kell elérhetővé válniuk, amikor valami kéri őket. Ez nem ugyanaz, mint a felügyelt Always On, amely kikényszerítve tartja a lefedettséget, és saját felügyeleti és profilkövetelményekkel jár.
Egy működő hitelesítő adat egyik esetben sem tesz semmit. Sok iPaden van teljesen jó tanúsítvány, és mégis kézi koppintásra várnak, mert soha nem indult el egyetlen igény szerinti szabály sem.
Adja át a követelményt olyan formában, amellyel az adminisztrátor tud mit kezdeni: ennek az iPadnek ismétlődő felhasználói bevitel nélkül kell elérnie ezeket az erőforrásokat, ezzel a hitelesítő adattípussal és ezekkel az aktiválási és kiesési szabályokkal. Ha a jelenlegi szolgáltatás nem tud megfelelni ezeknek a feltételeknek, az ismétlődő kérések az a szabályzat, amely a tervezés szerint működik.