VPN á iPad án lykilorðsbeiðna: skírteini eða vistuð innskráning
Vistað lykilorð og tækjaskírteini fjarlægja beiðnina á mismunandi vegu. Berðu þau saman og ákveddu síðan sérstaklega hvað opnar tunnilinn.
„Hættu að biðja mig um lykilorð“ er í raun þrjár kröfur í einni kvörtun, og iPad-uppsetning svarar þeim á mismunandi stöðum. Beiðnin kemur frá auðkenningunni, tímasetningin kemur frá virkjuninni og umfangið kemur frá framfylgdinni. Veldu auðkennið sem fjarlægir beiðnina og ákveddu síðan sérstaklega hvað ræður því hvenær tunnillinn opnast. Að blanda þessum tveimur ákvörðunum er einmitt hvernig menn enda með vistað lykilorð á prófíl sem bíður samt eftir snertingu.
| Saved or shared secret | Device certificate | |
|---|---|---|
| What the user sees | no prompt while the credential stays valid | no prompt, no password to rotate |
| What the admin manages | the secret in the profile and its distribution | enrollment, expiry and revocation per device |
| Typical failure | gateway demands a second factor | expired or revoked certificate |
Tvö vandamál í einni kvörtun
Innbyggð IKEv2-stilling á iPad getur vísað í lykilorð eða skírteini, og lykillinn AuthenticationMethod ræður því hvort gildir, en PayloadCertificateUUID nefnir auðkennið sem gefur sjálfsmyndina. Hvoru gáttin tekur við er spurning um stefnu þjónsins, ekki val biðlarans. Því þarf fyrst að staðfesta hvað VPN-þjónustan leyfir, því iPad getur ekki samið sig inn á aðferð sem mótaðilinn hafnar.
Aðeins eftir það er skynsamlegt að tala um hvenær tunnillinn virkjast, en það er allt annað mengi prófíllykla.
Kostur eitt: auðkenni sem iPad getur endurnýtt
Vistað reikningslykilorð eða sameiginlegt leyndarmál fullnægir gátt sem auðkennir notandann eða hópinn, og það fjarlægir beiðnina svo lengi sem leyndarmálið er gilt. Veikleiki þess er lífsferillinn: leyndarmálið liggur í prófílnum, nokkur tæki geta deilt því og snúningur þýðir að snerta hvern þann prófíl sem ber það. Ef þjónustan krefst líka einnota þáttar eða gagnvirkrar samþykktar gerir engin staðbundin stilling þá stefnu að ómannaðri innskráningu.
Lykilorð sem eitt forrit vistar er heldur ekki sjálfkrafa tiltækt fyrir aðra VPN-útfærslu, og þess vegna getur sami reikningurinn hætt að spyrja í einum biðlara og spurt í hvert sinn í öðrum.
Kostur tvö: tækjaskírteini með eigin lykli
Skírteini fjarlægir beiðnina á sterkari hátt, því iPad sannar að það hafi einkalykil í stað þess að endurspila leyndarmál. Það krefst að blaðskírteinið og lykill þess komi inn um samþykkta skráningaleið, og að gáttin taki við skírteinisauðkenningu fyrir þá tengingu. Að flytja inn aðeins CA-skírteini gefur tækinu traust efni og ekkert annað, sem er algeng og hljóðlát bilun.
Verðið er vinna við lífsferilinn. Hvert iPad fær sína eigin sjálfsmynd svo hægt sé að afturkalla tapað tæki án þess að endurútgefa allan flotann, og gildistímar verða raunverulegir rekstrarviðburðir. Skírteini sem rennur hljóðlaust út lítur nákvæmlega út eins og VPN-bilun að morgni þess dags.
Veldu eftir því sem gáttin tekur, ekki eftir smekk
Spurðu VPN-stjórnandann tveggja spurninga: hvaða auðkenningaaðferðir þjónustan tekur fyrir þessa tegund biðlara, og hvort einhver þeirra krefjist gagnvirkrar innsláttar. Ef svarið er aðeins skírteini skaltu skipuleggja skráningu og endurnýjun. Ef svarið er lykilorð auk annars þáttar skaltu samþykkja að beiðnin sé stefna og hætta að líta á hana sem tækjagalla. Ef bæði eru tekin vinnur skírteinið á lífsferli fyrir eftirlitinn flota og lykilorðið á uppsetningarvinnu fyrir handfylli tækja.
Skrifaðu valda aðferð í uppsetningarskrána við hlið prófílaðkennisins, því annars velur næsta manneskja sem snertir prófílinn hina.
Aðskildu síðan virkjun frá auðkenningu
VPN On Demand opnar tunnilinn þegar skilyrði sem stillt er á passar, hvort sem það er DNS-lén, tegund viðmóts eða tengt net, og Apple lýsir því sem að krefjist engra notendasamskipta. Það hentar vel einkaaðföngum sem eiga aðeins að verða aðgengileg þegar eitthvað biður um þau. Það er ekki það sama og stýrt Always On, sem heldur umfangi framfylgt og kemur með eigin kröfur um eftirlit og prófíla.
Virkt auðkenni gerir ekkert fyrir hvort tveggja. Mörg iPad hafa fullkomlega gilt skírteini og bíða samt eftir handvirkri snertingu vegna þess að engin on-demand-regla varð nokkurn tíma virk.
Afhentu kröfuna í formi sem stjórnandi getur unnið með: þetta iPad á að ná þessum aðföngum án endurtekins notendainnsláttar, með þessari tegund auðkennis og samkvæmt þessum virkjunar- og bilunarreglum. Ef núverandi þjónusta getur ekki uppfyllt þessi skilyrði eru endurteknar beiðnir stefnan að virka eins og henni er ætlað.