სჭირდება თუ არა iPad-ს საკუთარი VPN კლიენტის სერტიფიკატი?

ახალი iPad უერთდება გუნდს და ყველაზე სწრაფი გზა არსებული კლიენტის სერტიფიკატის ექსპორტი და პლანშეტზე დაყენებაა. ეს მუშაობს მანამ, სანამ ვინმე წავა, მოწყობილობას დაკარგავს ან აუდიტს მოითხოვს, რომელიც იტყვის, რომელი მოწყობილობა როდის დაუკავშირდა. გადაწყვეტილება სერტიფიკატის ფაილზე არ არის, არამედ იდენტობაზე: შეიძლება თუ არა თითოეული მოწყობილობის დამოუკიდებლად ავტორიზაცია და გაუქმება. ღირებულება და მართვის შრომა წყვეტს პასუხს და ორივე უფრო მცირეა, ვიდრე ჩანს.

საერთო გამომცემელი, ცალკეული იდენტობები

ყველა მოწყობილობას შეუძლია ერთსა და იმავე სერტიფიკატის ორგანოს ენდოს და იმავე კარიბჭეს დაუკავშირდეს, თუმცა განსხვავებული კლიენტის იდენტობა აქვს. გამომცემელი ნდობის საყრდენია, ხოლო იდენტობა წყვილი გასაღებია, რომლის სუბიექტს სერვერი პოლიტიკას უკავშირებს. სწორედ ამ ორის აღრევა ხდის საერთო სერტიფიკატს უვნებლად შესაგრძნობს. ის უვნებელი რჩება მხოლოდ მანამ, სანამ ვინმეს უნდა იცოდეს, რომელმა მოწყობილობამ გახსნა სესია.

გამომცემლის გაზიარება ზოგავს კონფიგურაციის სამუშაოს და არაფერს ცვლის მოწყობილობის მიხედვით ანგარიშვალდებულებაში. იდენტობის გაზიარება ყველა მოწყობილობას ერთ გაუქმებად ერთეულში კეცავს: ერთის გაუქმება ყველას აუქმებს, ხოლო შემცვლელის ავტორიზაცია ნებისმიერ ოდესმე შექმნილ გასაღების ასლს ავტორიზებს. ეს გაცვლა ღირს ღიად გაკეთდეს და არა ფაილის კოპირებით, რადგან პარასკევს შუადღისას ეს უფრო სწრაფია.

როცა მეორე სერტიფიკატი ძალიან ძვირია

მოწყობილობის მიხედვით რეგისტრაცია ერთ ნაბიჯს ჯდება: მართული პროფილი, SCEP მოთხოვნა ან ერთჯერადი პაროლით ხელმძღვანელობითი იმპორტი. მას ასევე სჭირდება ადგილი სერიული ნომრებისა და ვადების თვალყურის დევნისთვის, ის ნაწილი, რომელსაც განლაგებების უმეტესობა ივიწყებს, სანამ პირველი სერტიფიკატი ამოიწურება. ორივე ხარჯი ერთჯერადია და ორივე მცირდება, როგორც კი რეგისტრაციის პროცესი მათ ავტომატიზებს.

ხარჯი რეალურია ორი პლანშეტისა და ერთი მომხმარებლის ოჯახისთვის, სადაც საერთო იდენტობა ერთი წინადადებით დოკუმენტირებული გონივრული გადაწყვეტილებაა. ის არ არის გონივრული სერვისისთვის, სადაც წვდომა ადამიანის ან მოწყობილობის მიხედვით უნდა გაუქმდეს, რადგან გაუქმების ისტორია პაროლის ნაცვლად სერტიფიკატების გამოყენების მთელი მიზეზია. შეაფასეთ განლაგება იმით, რამდენად ხშირად იცვლიან მოწყობილობები მფლობელს და არა იმით, რამდენი მოწყობილობაა დღეს.

დარეგისტრირეთ მოწყობილობა, ნუ დააკოპირებთ გასაღებს

თანამედროვე პლატფორმები პირად გასაღებებს დაცულ საცავში ინახავენ, ზოგი კი დიზაინით არაექსპორტირებადად ნიშნავს. სწორედ ეს თვისება ხდის კოპირებას თავიდანვე შეუძლებელს და ესაა მიზეზი, რომ ლეპტოპიდან ექსპორტირებული პაკეტი პლანშეტზე უბრალოდ ვერ დაბრუნდება არც ერთი მხარდაჭერილი გზით. მცდელობა მაინც ქმნის პროფილს, რომელიც სუფთად დამონტაჟდება და შემდეგ არასდროს ავთენტიფიცირდება.

გამოიყენეთ რეგისტრაციის ის მეთოდი, რომელსაც განლაგება უკვე მხარს უჭერს: მართული იდენტობის პროფილი, SCEP სერვისი ან ანგარიშზე დაფუძნებული პროცესი, რომელიც მოწყობილობაზე ახალ გასაღებს გასცემს. სერტიფიკატის ორგანოს პირადი გასაღების გავრცელება დაკარგული იდენტობის გადასაჭრელად სხვა შეცდომაა, გაცილებით დიდი გავლენის რადიუსით. ორგანო იძლევა სერტიფიკატებს და არასდროს უნდა იმოგზაუროს საბოლოო წერტილამდე.

შეამოწმეთ გაუქმება, სანამ უპასუხებთ

სანამ საერთო ვარიანტს აირჩევთ, აღწერეთ, როგორ გამოიყურება გაუქმება ყველაზე ცუდ დღეს. თუ პასუხი ერთი მოქმედებაა, რომელიც რამდენიმე მოწყობილობაზე მოქმედებს, დიზაინმა უკვე თქვენს წინააღმდეგ გადაწყვიტა.

openssl pkcs12 -in client.p12 -info -noout
openssl x509 -in client.pem -noout -subject -issuer -serial -dates
openssl verify -CAfile ca.pem client.pem

შეამოწმეთ ის მასალა, რომელიც ნამდვილად გაქვთ: არის თუ არა პირადი გასაღები, რას ამბობს სუბიექტი და შეიძლება თუ არა სერიული ნომრის ცალკე გაუქმება. გასაღების გარეშე სერტიფიკატის ფაილი ვერაფერს ავთენტიფიცირებს, და ამიტომ ზოგიერთი დაკოპირებული იდენტობა პირველივე კავშირზე მარცხდება.

პლანშეტიდან აპის წაშლა გაუქმება არ არის და სერვერი იდენტობის მიღებას აგრძელებს, სანამ ვინმე მას გამორთავს. ჩაწერეთ ეს წინადადება ოპერაციულ სახელმძღვანელოში, სანამ პირველი მოწყობილობა დარეგისტრირდება.