VPN su iPad senza richieste di password: certificati o accesso salvato

«Smetti di chiedermi una password» racchiude in realtà tre requisiti in un’unica lamentela, e un’installazione su iPad li soddisfa in punti diversi. La richiesta viene dall’autenticazione, il momento viene dall’attivazione e la copertura viene dall’applicazione delle regole. Scegli la credenziale che elimina la richiesta, poi decidi separatamente cosa stabilisce quando si apre il tunnel. Mescolare le due decisioni è il modo in cui si finisce con una password salvata su un profilo che aspetta ancora un tocco.

Due problemi dietro una sola lamentela

Una configurazione IKEv2 nativa su iPad può fare riferimento a una password o a un certificato, e la chiave AuthenticationMethod decide quale si applica, mentre PayloadCertificateUUID indica la credenziale che fornisce l’identità. Quale dei due il gateway accetterà è una questione di politica del server, non una preferenza del client. Il primo punto da stabilire è quindi cosa consente il servizio VPN, perché un iPad non può negoziare fino a un metodo che l’altra estremità rifiuta.

Solo dopo ha senso parlare di quando si attiva il tunnel, che è un insieme del tutto diverso di chiavi del profilo.

Prima opzione: una credenziale che l’iPad può riutilizzare

Una password dell’account memorizzata o un segreto condiviso soddisfano un gateway che autentica l’utente o il gruppo ed eliminano la richiesta finché il segreto resta valido. Il suo punto debole è il ciclo di vita: il segreto sta nel profilo, più dispositivi possono condividerlo e la rotazione impone di toccare ogni profilo che lo contiene. Se il servizio richiede anche un fattore monouso o un’approvazione interattiva, nessuna impostazione locale trasforma quella politica in un accesso non presidiato.

Una password salvata da un’app non è inoltre disponibile automaticamente per un’altra implementazione VPN, ed è per questo che lo stesso account può smettere di chiedere in un client e chiedere ogni volta in un altro.

Seconda opzione: un certificato del dispositivo con la propria chiave

Un certificato elimina la richiesta in modo più solido, perché l’iPad dimostra il possesso di una chiave privata invece di ripetere un segreto. Ciò richiede che il certificato foglia e la sua chiave arrivino tramite il percorso di registrazione approvato, e che il gateway accetti l’autenticazione con certificato per quella connessione. Importare solo un certificato CA dà al dispositivo materiale di fiducia e nulla più, il che è un guasto comune e silenzioso.

Il prezzo è il lavoro sul ciclo di vita. Ogni iPad riceve un’identità propria, così un dispositivo perso può essere revocato senza riemettere l’intero parco, e le date di scadenza diventano veri eventi operativi. Un certificato che scade in silenzio assomiglia esattamente a un’interruzione del VPN la mattina in cui accade.

Scegli in base a ciò che il gateway accetta, non alle preferenze

Poni due domande all’amministratore VPN: quali metodi di autenticazione il servizio accetta per questo tipo di client e se qualcuno di essi richiede input interattivo. Se la risposta è solo certificato, pianifica registrazione e rinnovo. Se la risposta è password più un secondo fattore, accetta che la richiesta sia politica e smetti di trattarla come un guasto del dispositivo. Se sono accettati entrambi, il certificato vince sul ciclo di vita per un parco gestito e la password vince sullo sforzo di configurazione per pochi dispositivi.

Scrivi il metodo scelto nel registro di distribuzione accanto all’identificatore del profilo, perché altrimenti la prossima persona che toccherà il profilo sceglierà l’altro.

Poi separa attivazione e autenticazione

VPN On Demand apre il tunnel quando una condizione configurata corrisponde, che sia un dominio DNS, un tipo di interfaccia o una rete connessa, e Apple lo documenta come privo di interazione da parte dell’utente. È adatto a risorse private che devono diventare raggiungibili solo quando qualcosa le richiede. Non è la stessa cosa di Always On gestito, che mantiene applicata la copertura e porta con sé propri requisiti di supervisione e di profilo.

Una credenziale funzionante non serve a nessuna delle due cose. Molti iPad hanno un certificato perfettamente valido e aspettano comunque un tocco manuale perché nessuna regola su richiesta si è mai attivata.

Consegna il requisito in una forma su cui un amministratore può agire: questo iPad deve raggiungere queste risorse senza input ricorrente dell’utente, con questo tipo di credenziale, secondo queste regole di attivazione e di interruzione. Se il servizio attuale non soddisfa tali condizioni, le richieste ripetute sono la politica che funziona come previsto.