VPN iPad-ում առանց գաղտնաբառի հարցումների՝ վկայագրեր կամ պահված մուտք
Պահված գաղտնաբառը և սարքի վկայագիրը հարցումը հեռացնում են տարբեր ձևերով։ Համեմատեք դրանք, ապա առանձին որոշեք, թե ինչն է բացում թունելը։
«Դադարեցրեք ինձնից գաղտնաբառ հարցնելը» իրականում երեք պահանջ միավորում է մեկ բողոքի մեջ, և iPad-ում տեղափոխումը նրանց պատասխանում է տարբեր տեղերում։ Հարցումը գալիս է նույնականացումից, ժամանակը՝ ակտիվացումից, իսկ ծածկույթը՝ պարտադրման կիրառումից։ Նախ ընտրեք այն տվյալները, որոնք հեռացնում են հարցումը, ապա առանձին որոշեք, թե ինչն է սահմանում, երբ է բացվում թունելը։ Այս երկու որոշումների խառնումը հենց այն է, ինչի պատճառով պահված գաղտնաբառը մնում է պրոֆիլում, որը դեռ սպասում է հպման։
| Saved or shared secret | Device certificate | |
|---|---|---|
| What the user sees | no prompt while the credential stays valid | no prompt, no password to rotate |
| What the admin manages | the secret in the profile and its distribution | enrollment, expiry and revocation per device |
| Typical failure | gateway demands a second factor | expired or revoked certificate |
Երկու խնդիր մեկ բողոքի մեջ
iPad-ի բնիկ IKEv2 կարգավորումը կարող է հղում անել գաղտնաբառին կամ վկայագրին, և AuthenticationMethod բանալին որոշում է, թե որն է գործում, մինչդեռ PayloadCertificateUUID անվանում է այն տվյալները, որոնք տալիս են ինքնությունը։ Դարպասն այդ երկուսից որն է ընդունելու, սերվերի քաղաքականության հարց է, ոչ թե հաճախորդի նախասիրության։ Ուստի նախ պետք է պարզել, թե ինչ է թույլատրում VPN ծառայությունը, քանի որ iPad-ը չի կարող բանակցել մի մեթոդի շուրջ, որը մերժում է մյուս կողմը։
Միայն դրանից հետո է իմաստալից խոսել այն մասին, թե երբ է ակտիվանում թունելը, որը բոլորովին այլ պրոֆիլային բանալիների հավաքածու է։
Առաջին տարբերակ՝ տվյալներ, որ iPad-ը կարող է կրկին օգտագործել
Պահված հաշվի գաղտնաբառը կամ ընդհանուր գաղտնիքը բավարարում է դարպասին, որը նույնականացնում է օգտվողին կամ խումբը, և հեռացնում է հարցումը այնքան ժամանակ, քանի դեռ գաղտնիքը վավեր է։ Դրա թույլ կողմը կենսացիկլն է՝ գաղտնիքը պրոֆիլում է, մի քանի սարքեր կարող են կիսել այն, իսկ ռոտացիան նշանակում է ձեռք տալ յուրաքանչյուր պրոֆիլի, որը կրում է այն։ Եթե ծառայությունը նաև պահանջում է մեկանգամյա գործոն կամ ինտերակտիվ հաստատում, ոչ մի տեղային կարգավորում այդ քաղաքականությունը չի դարձնում անհսկա մուտք։
Մեկ հավելվածի պահած գաղտնաբառը նույնպես ավտոմատ հասանելի չէ VPN-ի մեկ այլ իրականացման համար, ինչի պատճառով նույն հաշիվը կարող է դադարել հարցնել մեկ հաճախորդում և ամեն անգամ հարցնել մյուսում։
Երկրորդ տարբերակ՝ սարքի վկայագիր սեփական բանալիով
Վկայագիրը հարցումը հեռացնում է ավելի ամուր ձևով, քանի որ iPad-ը ապացուցում է մասնավոր բանալու տիրապետումը՝ գաղտնիքը կրկնելու փոխարեն։ Դրա համար անհրաժեշտ է որ տերևային վկայագիրն ու դրա բանալին հասնեն հաստատված գրանցման ուղով, և դարպասն ընդունի վկայագրով նույնականացումը տվյալ միացման համար։ Միայն CA վկայագիր ներմուծելը սարքին տալիս է վստահության նյութ և ոչ ավելին, ինչը սովորական և լուռ սխալ է։
Գինը կենսացիկլի աշխատանքն է։ Յուրաքանչյուր iPad ստանում է իր ինքնությունը, որպեսզի կորցրած սարքը հնարավոր լինի չեղարկել առանց ամբողջ պարկը նորից թողարկելու, և ժամկետների ավարտը դառնում է իրական գործառնական իրադարձություն։ Վկայագիրը, որը լուռ լրանում է, ուղիղ նույն տեսքն ունի, ինչ VPN-ի խափանումը այն առավոտյան, երբ դա տեղի է ունենում։
Ընտրեք ըստ այն բանի, ինչ ընդունում է դարպասը, ոչ թե ըստ նախասիրության
VPN-ի ադմինիստրատորին տվեք երկու հարց՝ ինչ նույնականացման մեթոդներ է ծառայությունն ընդունում այս տեսակի հաճախորդի համար, և արդյոք դրանցից որևէ մեկը պահանջում է ինտերակտիվ մուտքագրում։ Եթե պատասխանը միայն վկայագիր է, պլանավորեք գրանցում և նորացում։ Եթե պատասխանը գաղտնաբառ գումարած երկրորդ գործոն է, ընդունեք, որ հարցումը քաղաքականություն է, և դադարեցրեք այն սարքի խափանում համարել։ Եթե երկուսն էլ ընդունելի են, վկայագիրը հաղթում է կենսացիկլում հսկվող պարկի համար, իսկ գաղտնաբառը՝ տեղադրման աշխատանքում մի քանի սարքի համար։
Գրեք ընտրված մեթոդը տեղափոխման գրառման մեջ՝ պրոֆիլի նույնացուցիչի կողքին, այլապես պրոֆիլին հաջորդը դիպչողը կընտրի մյուսը։
Ապա առանձնացրեք ակտիվացումը նույնականացումից
VPN On Demand-ը բացում է թունելը, երբ համընկնում է կարգավորված պայմանը՝ լինի դա DNS դոմեն, ինտերֆեյսի տեսակ, թե միացված ցանց, և Apple-ը նկարագրում է այն որպես օգտվողի փոխազդեցություն չպահանջող։ Սա լավ է համապատասխանում մասնավոր ռեսուրսներին, որոնք պետք է հասանելի դառնան միայն այն ժամանակ, երբ ինչ-որ բան պահանջում է դրանք։ Սա նույնը չէ, ինչ կառավարվող Always On-ը, որը ծածկույթը պահում է պարտադրված և բերում է իր սեփական հսկողության ու պրոֆիլի պահանջները։
Աշխատող տվյալները ոչ մեկի համար ոչինչ չեն անում։ Շատ iPad-ներ ունեն լիովին լավ վկայագիր և այնուամենայնիվ սպասում են ձեռքով հպման, որովհետև ոչ մի ըստ պահանջի կանոն երբևէ չի գործարկվել։
Փոխանցեք պահանջը այն ձևով, որով ադմինիստրատորը կարող է գործել՝ այս iPad-ը պետք է հասնի այս ռեսուրսներին առանց օգտվողի կրկնվող մուտքագրման, այս տեսակի տվյալներով և այս ակտիվացման ու խափանման կանոններով։ Եթե ընթացիկ ծառայությունը չի կարող բավարարել այդ պայմանները, կրկնվող հարցումները քաղաքականությունն են, որն աշխատում է ինչպես նախատեսված է։