Setja upp undirritaðan VPN-prófíl á iPhone? Lestu gagnahlutana

Prófílar birtast í Stillingum með nafni, undirritara og Install-hnappi, og það er línan með undirritaranum sem flestir lesa. Sú lína svarar einni spurningu: hver pakkaði þessum stillingum saman, samkvæmt reglum um sannprófun undirskriftar. Hún segir ekki að VPN-gagnahlutinn bendi á gátt vinnuveitandans þíns, né að innfellt rótarvottorð eigi heima í TLS traustageymslunni þinni. Leiðbeiningarnar hér á eftir opna pakkann í þeirri röð sem tækið mun beita honum.

Byrjaðu á umslagnum: hver undirritaði þennan prófíl

Á iOS birtist prófíllinn undir Stillingar, Almennt, VPN og Tækjastjórnun, með undirritarann ofan við Install-hnappinn. Lestu það nafn áður en þú snertir nokkuð og spurðu hvort þetta sé fyrirtækið sem þú bjóst við að fá stillingar frá. Gild undirskrift frá aðila sem þú þekkir ekki er samt gild undirskrift, og hún heimilar stillingar þeirra en ekki þínar. Sami skjár segir þér líka hvort prófíllinn sé undirritaður yfirhöfuð.

Ef þú ert með skrána á Mac skaltu skoða hana áður en hún nær símanum. Öryggistólið afkóðar CMS-umslagið og prentar plistið sem tækið mun lesa, það er sama efnið án Install-hnapps í vegi. Skjöl Apple um framfylgd stillingaskráar lýsa undirskrift sem staðfestingu uppruna, sem er einmitt umfangið sem hér er lýst.

security cms -D -i corp-vpn.mobileconfig -o corp-vpn.plist
plutil -p corp-vpn.plist

Stoppaðu hér ef undirritarinn er ekki sá sem þú bjóst við, eða ef skráin er óundirrituð og kom í gegnum rás sem getur ekki ábyrgst hana. Ekkert síðar í þessum leiðbeiningum gerir óáreiðanlegt umslag áreiðanlegt.

Opnaðu hvern gagnahluta og nefndu hvað hann setur upp

Prófíll er geymir, og áhugaverði hlutinn er fylkið PayloadContent inni í honum. Hver færsla ber PayloadType sem segir hvað tækið mun setja upp: stýrða VPN-stillingu, PKCS#12 auðkenni, rótarvottorð eða skráningu í tækjastjórnun. Prentaðu tegundirnar áður en þú lest nokkrar stillingar.

plutil -extract PayloadContent xml1 -o - corp-vpn.plist |
  grep -E 'PayloadType|PayloadDisplayName'

VPN-gagnahluti nefnir tengingu: vistfang netþjóns, auðkenningaraðferð og hugsanlega reglu fyrir hvert forrit eða eftir þörf. Auðkennisgagnahluti veitir þá biðlaraheimild sem tengingin mun sýna. Rótarvottorðsgagnahluti bætir við traustsviðmiði, og stjórnunargagnahluti afhendir netþjóni varanlegt stjórnvald. Þetta eru fjögur mismunandi skuldbinding, og undirskriftin nær yfir pakkann í stað þess að ábyrgjast hvert þeirra fyrir sig. Lestu þau í þessari röð, því VPN er gagnslaust án auðkennisins og auðkennið þýðir lítið án þess að vita hver gaf það út.

Lykilorðsvernd á skránni er enn annar eiginleiki. Dulkóðaður pakki felur innihaldið fyrir þeim sem ekki hefur lykilorðið; hann ákveður ekki hvort þú ættir að heimila það sem inni er. Líttu á lykilorðið sem sendingaraðferð, ekki sem yfirferð.

Rekjaðu vottorðin til tengingarinnar sem notar þau

Teldu upp vottorðin í pakkanum og paraðu hvert þeirra við verk. Biðlaravottorðið auðkennir þetta tæki gagnvart gáttinni, CA sem gaf það út á heima í traustakeðjunni fyrir þá tengingu, og rót sem sett er upp fyrir proxy eða innri þjónustu er ekki sjálfkrafa viðmið fyrir hverja HTTPS síðu. Á iOS er rót sem sett er upp í höndunum ótraust fyrir TLS þar til þú virkjar hana undir Stillingar, Almennt, Um símann, Vottorðastillingar, en rót sem kemur frá tækjastjórnun er treyst án þess skrefs. Þessi munur er einmitt ástæðan fyrir því að tilgangur gagnahlutans skiptir máli.

openssl pkcs7 -inform DER -in corp-vpn.mobileconfig -print_certs -noout
security find-certificate -a -c "Corp Root" -p | openssl x509 -noout -subject -dates

Þjónustuveitandi sem flytur umferðina þína er ekki af þeirri ástæðu TLS-endapunktur hverrar vefsíðu sem þú heimsækir. Afskipti krefjast umferðarleiðar og traustsviðmiðs sem forritið samþykkir, og prófíll með einu vottorði sannar hvorki annað né hitt. Spurðu hvaða tenging notar vottorðið og hvaða forrit muni samþykkja það, í stað þess að gera ráð fyrir að uppsetning prófílsins afkóði allt.

Eftir uppsetningu: sannprófaðu og vitðu hvað fjarlæging gerir

Þegar prófíllinn er uppsettur skaltu staðfesta hann frá tækinu frekar en frá skránni sem þú sóttir. Stillingaskjárinn telur upp uppsetta prófílinn, undirritarann og gagnahlutana, og VPN-skjárinn sýnir hvort tengingin er stillt eins og ætlað var. Að eyða sóttu skránni fjarlægir ekkert; uppsetta stillingin er sérstakur hlutur.

profiles show -type configuration
scutil --nc list

Ef prófíllinn inniheldur skráningu í tækjastjórnun skaltu lesa afleiðingar fjarlægingar áður en þú setur hann upp, ekki eftir. Að fjarlægja þá skráningu tekur með sér tengdar stillingar og getur fjarlægt stýrð forrit, allt eftir því hvernig tækið var skráð. Það er ekki viðgerðarskref sem á að prófa þegar vottorð lítur rangt út. Spurðu stjórnandann hvaða gagnahluti á vandamálið áður en þú fjarlægir eitthvað.

Leiðbeiningunum lýkur með fjórum aðskildum svörum: hver undirritaði pakkann, hvaða gagnahluta hann setur upp, hvaða auðkenni og traust hver tenging notar, og hvað fjarlæging myndi taka með sér. Haltu þeim aðskildum og undirritaður prófíll verður yfirfarin ákvörðun í stað græns hakmerkis.