iPhone-ում ստորագրված VPN պրոֆիլ տեղադրե՞լ։ Կարդացեք ծանրաբեռնվածությունները

Պրոֆիլները Կարգավորումներում հայտնվում են անունով, ստորագրողով և Տեղադրել կոճակով, և հենց ստորագրողի տողն է, որ մարդկանց մեծամասնությունը կարդում է։ Այդ տողը պատասխանում է մեկ հարցի՝ ով է փաթեթավորել այս կարգավորումները՝ ըստ ստորագրության ստուգման կանոնների։ Այն չի ասում, որ VPN ծանրաբեռնվածությունը ցույց է տալիս ձեր գործատուի դարպասին, կամ որ ներկառուցված արմատային վկայագիրը պատկանում է ձեր TLS վստահության պահոցին։ Ստորև ուղեցույցը բացում է փաթեթը այն հերթականությամբ, որով սարքը կկիրառի այն։

Սկսեք ծրարից՝ ով է ստորագրել այս պրոֆիլը

iOS-ում պրոֆիլը հայտնվում է Կարգավորումներ, Ընդհանուր, VPN և Սարքի կառավարում բաժնում, ստորագրողը ցուցադրվում է Տեղադրել կոճակի վերևում։ Կարդացեք այդ անունը նախքան որևէ բան դիպչելը և հարցրեք՝ արդյոք դա այն կազմակերպությունն է, որից սպասում էիք կարգավորումներ ստանալ։ Անծանոթ կողմի վավեր ստորագրությունը դեռ վավեր ստորագրություն է, և այն լիազորում է նրանց կարգավորումը, ոչ ձերը։ Նույն էկրանը նաև ասում է՝ արդյոք պրոֆիլն ընդհանրապես ստորագրված է։

Եթե ֆայլը Mac-ում է, ստուգեք այն նախքան հեռախոսին հասնելը։ Անվտանգության գործիքը վերծանում է CMS ծրարը և տպում plist-ը, որը սարքը կկարդա, այսինքն՝ նույն բովանդակությունը՝ առանց Տեղադրել կոճակի։ Apple-ի կարգավորումների պարտադրման փաստաթղթերը ստորագրումը նկարագրում են որպես ծագման վավերացում, ինչը հենց այստեղ նկարագրված շրջանակն է։

security cms -D -i corp-vpn.mobileconfig -o corp-vpn.plist
plutil -p corp-vpn.plist

Կանգնեք այստեղ, եթե ստորագրողը այն չէ, ում սպասում էիք, կամ եթե ֆայլն առանց ստորագրության է և եկել է ալիքով, որը չի կարող երաշխավորել այն։ Այս ուղեցույցում ոչինչ հետագայում չի դարձնում անվստահելի ծրարը վստահելի։

Բացեք յուրաքանչյուր ծանրաբեռնվածություն և անվանեք, թե ինչ է այն տեղադրում

Պրոֆիլը տարա է, և հետաքրքիր մասը դրա ներսի PayloadContent զանգվածն է։ Յուրաքանչյուր գրառում կրում է PayloadType որը ասում է, թե ինչ կտեղադրի սարքը՝ կառավարվող VPN կարգավորում, PKCS#12 ինքնություն, արմատային վկայագիր կամ կառավարման գրանցում։ Տպեք տեսակները նախքան որևէ կարգավորում կարդալը։

plutil -extract PayloadContent xml1 -o - corp-vpn.plist |
  grep -E 'PayloadType|PayloadDisplayName'

VPN ծանրաբեռնվածությունը անվանում է միացում՝ սերվերի հասցե, նույնականացման եղանակ և հնարավոր է՝ ըստ հավելվածի կամ պահանջի կանոն։ Ինքնության ծանրաբեռնվածությունը տալիս է այն հաճախորդային հավատարմագրերը, որոնք կներկայացնի այդ միացումը։ Արմատային վկայագրի ծանրաբեռնվածությունը ավելացնում է վստահության խարսխան, իսկ կառավարման ծանրաբեռնվածությունը շարունակական վերահսկողությունը հանձնում է սերվերին։ Դրանք չորս տարբեր պարտավորություններ են, և ստորագրությունը ծածկում է փաթեթը, ոչ թե երաշխավորում յուրաքանչյուրն առանձին։ Կարդացեք դրանք այդ հերթականությամբ, որովհետև VPN-ն անօգուտ է առանց ինքնության, իսկ ինքնությունը քիչ բան է նշանակում առանց իմանալու, թե ով է թողարկել այն։

Ֆայլի գաղտնաբառային պաշտպանությունը կրկին առանձին հատկություն է։ Գաղտնագրված փաթեթը թաքցնում է բովանդակությունը նրանից, ով գաղտնաբառ չունի, բայց չի որոշում՝ արդյոք դուք պետք է լիազորեք ներսի բովանդակությունը։ Գաղտնաբառը դիտեք որպես առաքման մեխանիզմ, ոչ որպես ստուգում։

Հետևեք վկայագրերին մինչև այն միացումը, որն օգտագործում է դրանք

Թվարկեք փաթեթի վկայագրերը և յուրաքանչյուրը կապեք մի գործի հետ։ Հաճախորդի վկայագիրը նույնականացնում է այս սարքը դարպասի առջև, այն թողարկած CA-ն պատկանում է այդ միացման վստահության շղթային, իսկ վստահվածքի կամ ներքին ծառայության համար տեղադրված արմատը ինքնաբերաբար խարսխան չի դառնում յուրաքանչյուր HTTPS կայքի համար։ iOS-ում ձեռքով տեղադրված արմատը TLS-ի համար մնում է անվստահելի, քանի դեռ չեք այն միացրել Կարգավորումներ, Ընդհանուր, Տեղեկություններ, Վկայագրերի վստահության կարգավորումներ բաժնում, մինչդեռ կառավարման միջոցով տրված արմատը վստահելի է առանց այդ քայլի։ Հենց այդ տարբերությունն է, որ կարևոր է դարձնում ծանրաբեռնվածության նպատակը։

openssl pkcs7 -inform DER -in corp-vpn.mobileconfig -print_certs -noout
security find-certificate -a -c "Corp Root" -p | openssl x509 -noout -subject -dates

Ձեր թրաֆիկը կրող մատակարարը այդ պատճառով չէ, որ ձեր այցելած յուրաքանչյուր կայքի TLS վերջնակետն է։ Միջամտությունը պահանջում է թրաֆիկի ուղի և վստահության խարսխան, որն ընդունում է հավելվածը, և մեկ վկայագիր կրող պրոֆիլը ոչ մեկը չի ապացուցում։ Հարցրեք, թե որ միացումն է օգտագործում վկայագիրը և որ հավելվածները կընդունեն այն, փոխանակ ենթադրելու, թե պրոֆիլը տեղադրելը վերծանում է ամեն ինչ։

Տեղադրումից հետո՝ ստուգեք և իմացեք, թե ինչ է անում հեռացումը

Երբ պրոֆիլը տեղադրված է, հաստատեք այն սարքից, ոչ թե ներբեռնած ֆայլից։ Կարգավորումների էկրանը թվարկում է տեղադրված պրոֆիլը, դրա ստորագրողին և ծանրաբեռնվածությունները, իսկ VPN էկրանը ցույց է տալիս՝ արդյոք միացումը կարգավորված է ինչպես նախատեսված էր։ Ներբեռնված ֆայլը ջնջելը ոչինչ չի հեռացնում, տեղադրված կարգավորումը առանձին օբյեկտ է։

profiles show -type configuration
scutil --nc list

Եթե պրոֆիլը ներառում է կառավարման գրանցում, կարդացեք հեռացման հետևանքները նախքան տեղադրելը, ոչ հետո։ Այդ գրանցումը հեռացնելը իր հետ տանում է կապված կարգավորումները և կարող է հեռացնել կառավարվող հավելվածներ՝ կախված նրանից, թե ինչպես է սարքը գրանցվել։ Դա վերանորոգման քայլ չէ, որ պետք է փորձել, երբ վկայագիրը սխալ է թվում։ Հարցրեք ադմինիստրատորին, թե որ ծանրաբեռնվածությունն է տիրում խնդրին, նախքան որևէ բան հեռացնելը։

Ուղեցույցն ավարտվում է չորս առանձին պատասխանով՝ ով է ստորագրել փաթեթը, ինչ ծանրաբեռնվածություններ է այն տեղադրում, ինչ ինքնություն և վստահություն է օգտագործում յուրաքանչյուր միացում, և ինչ կտանի իր հետ հեռացումը։ Պահեք դրանք առանձին, և ստորագրված պրոֆիլը դառնում է վերանայված որոշում՝ կանաչ նշանի փոխարեն։