VPN di iPad tanpa permintaan sandi: sertifikat atau login tersimpan
Sandi tersimpan dan sertifikat perangkat menghapus permintaan itu dengan cara berbeda. Bandingkan keduanya, lalu putuskan secara terpisah apa yang membuka terowongan.
»Berhenti meminta sandi kepada saya« sebenarnya menggabungkan tiga persyaratan dalam satu keluhan, dan penerapan di iPad menjawabnya di tempat yang berbeda. Permintaan berasal dari autentikasi, waktunya dari aktivasi, dan cakupannya dari penegakan. Pilih kredensial yang menghapus permintaan itu, lalu putuskan secara terpisah apa yang menentukan kapan terowongan terbuka. Mencampur kedua keputusan itulah yang membuat sandi tersimpan berakhir pada profil yang masih menunggu ketukan.
| Saved or shared secret | Device certificate | |
|---|---|---|
| What the user sees | no prompt while the credential stays valid | no prompt, no password to rotate |
| What the admin manages | the secret in the profile and its distribution | enrollment, expiry and revocation per device |
| Typical failure | gateway demands a second factor | expired or revoked certificate |
Dua masalah dalam satu keluhan
Konfigurasi IKEv2 bawaan di iPad dapat merujuk ke sandi atau sertifikat, dan kunci AuthenticationMethod menentukan mana yang berlaku, sedangkan PayloadCertificateUUID menamai kredensial yang menyediakan identitas. Mana yang akan diterima gateway adalah soal kebijakan server, bukan preferensi klien. Jadi hal pertama yang harus dipastikan adalah apa yang diizinkan layanan VPN, karena iPad tidak dapat bernegosiasi menuju metode yang ditolak ujung lain.
Baru setelah itu masuk akal membicarakan kapan terowongan aktif, yang merupakan kumpulan kunci profil yang sama sekali berbeda.
Opsi pertama: kredensial yang dapat dipakai ulang oleh iPad
Sandi akun tersimpan atau rahasia bersama memenuhi gateway yang mengautentikasi pengguna atau grup, dan menghapus permintaan selama rahasia tetap valid. Kelemahannya adalah siklus hidup: rahasia berada di profil, beberapa perangkat dapat berbagi, dan rotasinya berarti menyentuh setiap profil yang membawanya. Jika layanan juga menuntut faktor sekali pakai atau persetujuan interaktif, tidak ada pengaturan lokal yang mengubah kebijakan itu menjadi login tanpa pengawasan.
Sandi yang disimpan oleh satu aplikasi juga tidak otomatis tersedia bagi implementasi VPN lain, sehingga akun yang sama dapat berhenti meminta di satu klien dan meminta setiap kali di klien lain.
Opsi kedua: sertifikat perangkat dengan kunci sendiri
Sertifikat menghapus permintaan dengan cara yang lebih kuat, karena iPad membuktikan kepemilikan kunci privat alih-alih memutar ulang rahasia. Itu menuntut agar sertifikat daun dan kuncinya tiba melalui jalur pendaftaran yang disetujui, dan agar gateway menerima autentikasi sertifikat untuk koneksi itu. Mengimpor sertifikat CA saja memberi perangkat materi kepercayaan dan tidak lebih, yang merupakan kegagalan umum dan senyap.
Harganya adalah pekerjaan siklus hidup. Setiap iPad mendapat identitas sendiri agar perangkat yang hilang dapat dicabut tanpa menerbitkan ulang seluruh armada, dan tanggal kedaluwarsa menjadi peristiwa operasional nyata. Sertifikat yang kedaluwarsa diam-diam terlihat persis seperti gangguan VPN pada pagi hari kejadian itu.
Pilih berdasarkan apa yang diterima gateway, bukan preferensi
Ajukan dua pertanyaan kepada administrator VPN: metode autentikasi apa yang diterima layanan untuk jenis klien ini, dan apakah salah satunya menuntut masukan interaktif. Jika jawabannya hanya sertifikat, rencanakan pendaftaran dan pembaruan. Jika jawabannya sandi plus faktor kedua, terimalah bahwa permintaan itu kebijakan dan berhentilah memperlakukannya sebagai kerusakan perangkat. Jika keduanya diterima, sertifikat menang pada siklus hidup untuk armada terkelola dan sandi menang pada usaha penyiapan untuk beberapa perangkat.
Tulis metode yang dipilih ke dalam catatan penerapan di samping pengenal profil, karena jika tidak, orang berikutnya yang menyentuh profil akan memilih yang lain.
Lalu pisahkan aktivasi dari autentikasi
VPN On Demand membuka terowongan ketika kondisi yang dikonfigurasi cocok, baik itu domain DNS, jenis antarmuka, maupun jaringan yang digabung, dan Apple mendokumentasikannya sebagai tidak memerlukan interaksi pengguna. Itu cocok untuk sumber daya privat yang seharusnya baru dapat dijangkau ketika ada yang memintanya. Itu tidak sama dengan Always On terkelola, yang menjaga cakupan tetap ditegakkan dan membawa persyaratan pengawasan serta profil tersendiri.
Kredensial yang berfungsi tidak melakukan apa pun untuk keduanya. Banyak iPad memiliki sertifikat yang sepenuhnya baik dan tetap menunggu ketukan manual karena tidak ada aturan sesuai permintaan yang pernah terpicu.
Serahkan persyaratan dalam bentuk yang dapat ditindaklanjuti administrator: iPad ini harus mencapai sumber daya tersebut tanpa masukan pengguna berulang, dengan jenis kredensial ini, dan menurut aturan aktivasi serta gangguan ini. Jika layanan saat ini tidak dapat memenuhi kondisi itu, permintaan berulang adalah kebijakan yang bekerja sebagaimana dirancang.