VPN iPad-ზე პაროლის მოთხოვნის გარეშე: სერტიფიკატები თუ შენახული შესვლა
შენახული პაროლი და მოწყობილობის სერტიფიკატი მოთხოვნას სხვადასხვა გზით აშორებს. შეადარეთ ისინი და შემდეგ ცალკე გადაწყვიტეთ, რა ხსნის გვირაბს.
„შეწყვიტეთ ჩემგან პაროლის კითხვა“ სინამდვილეში სამ მოთხოვნას აერთიანებს ერთ საჩივარში, და iPad-ზე განლაგება მათ სხვადასხვა ადგილას პასუხობს. მოთხოვნა აუთენტიფიკაციიდან მოდის, დრო აქტივაციიდან, ხოლო დაფარვა იძულებითი შესრულებიდან. ჯერ აირჩიეთ ის მონაცემები, რომლებიც მოთხოვნას აშორებს, შემდეგ კი ცალკე გადაწყვიტეთ, რა განსაზღვრავს, როდის იხსნება გვირაბი. ამ ორი გადაწყვეტილების არევა სწორედ იმას იწვევს, რომ შენახული პაროლი პროფილში რჩება და მაინც შეხებას ელოდება.
| Saved or shared secret | Device certificate | |
|---|---|---|
| What the user sees | no prompt while the credential stays valid | no prompt, no password to rotate |
| What the admin manages | the secret in the profile and its distribution | enrollment, expiry and revocation per device |
| Typical failure | gateway demands a second factor | expired or revoked certificate |
ორი პრობლემა ერთ საჩივარში
iPad-ის მშობლიური IKEv2 კონფიგურაცია შეიძლება პაროლს ან სერტიფიკატს მიუთითებდეს, და AuthenticationMethod გასაღები წყვეტს, რომელი მოქმედებს, ხოლო PayloadCertificateUUID ასახელებს იმ მონაცემებს, რომლებიც იდენტობას აძლევს. რომელ მათგანს მიიღებს კარიბჭე, სერვერის პოლიტიკის საკითხია და არა კლიენტის სურვილი. ამიტომ პირველ რიგში უნდა დადგინდეს, რას უშვებს VPN სერვისი, რადგან iPad ვერ მოიძიებს შეთანხმებას იმ მეთოდზე, რომელსაც მეორე მხარე უარყოფს.
მხოლოდ ამის შემდეგ აქვს აზრი იმაზე საუბარს, თუ როდის გააქტიურდება გვირაბი, და ეს სრულიად სხვა პროფილის გასაღებების ნაკრებია.
პირველი ვარიანტი: მონაცემები, რომელთა ხელახლა გამოყენებაც iPad-ს შეუძლია
შენახული ანგარიშის პაროლი ან საერთო საიდუმლო ტოვებს იმ კარიბჭეს, რომელიც მომხმარებელს ან ჯგუფს აუთენტიფიცირებს, და აშორებს მოთხოვნას მანამ, სანამ საიდუმლო ძალაშია. მისი სისუსტე სასიცოცხლო ციკლია: საიდუმლო პროფილში ზის, რამდენიმე მოწყობილობას შეუძლია გაიზიაროს, ხოლო როტაცია ნიშნავს ყოველ იმ პროფილზე შეხებას, რომელიც მას ატარებს. თუ სერვისი დამატებით ითხოვს ერთჯერად ფაქტორს ან ინტერაქტიულ დადასტურებას, არც ერთი ლოკალური პარამეტრი ვერ აქცევს ამ პოლიტიკას ზედამხედველობის გარეშე შესვლად.
ერთი აპის მიერ შენახული პაროლი ასევე ავტომატურად არ არის ხელმისაწვდომი VPN-ის სხვა იმპლემენტაციისთვის, ამიტომ ერთი და იმავე ანგარიში შეიძლება ერთ კლიენტში კითხვას შეწყვიტოს და მეორეში ყოველ ჯერზე იკითხოს.
მეორე ვარიანტი: მოწყობილობის სერტიფიკატი საკუთარი გასაღებით
სერტიფიკატი მოთხოვნას უფრო მყარად აშორებს, რადგან iPad ამტკიცებს კერძო გასაღების ფლობას და არ იმეორებს საიდუმლოს. ამისთვის საჭიროა ფოთლის სერტიფიკატი და მისი გასაღები დამტკიცებული რეგისტრაციის გზით მოვიდეს, და კარიბჭემ ამ კავშირისთვის სერტიფიკატით აუთენტიფიკაცია მიიღოს. მხოლოდ CA სერტიფიკატის იმპორტი მოწყობილობას ნდობის მასალას აძლევს და მეტს არაფერს, რაც ხშირი და ჩუმი შეცდომაა.
ფასი სასიცოცხლო ციკლის სამუშაოა. თითოეული iPad საკუთარ იდენტობას იღებს, რათა დაკარგული მოწყობილობის გაუქმება მთელი პარკის ხელახალი გაცემის გარეშე შეიძლებოდეს, და ვადის გასვლის თარიღები რეალურ საოპერაციო მოვლენებად იქცევა. სერტიფიკატი, რომელიც ჩუმად იწურება, ზუსტად VPN-ის გათიშვას ჰგავს იმ დილით, როცა ეს ხდება.
აირჩიეთ იმის მიხედვით, რას მიიღებს კარიბჭე და არა სურვილით
დაუსვით VPN-ის ადმინისტრატორს ორი კითხვა: რომელ აუთენტიფიკაციის მეთოდებს იღებს სერვისი ამ ტიპის კლიენტისთვის და სჭირდება თუ არა რომელიმეს ინტერაქტიული შეყვანა. თუ პასუხი მხოლოდ სერტიფიკატია, დაგეგმეთ რეგისტრაცია და განახლება. თუ პასუხი პაროლი პლუს მეორე ფაქტორია, მიიღეთ, რომ მოთხოვნა პოლიტიკაა და შეწყვიტეთ მისი მოწყობილობის ხარვეზად მიჩნევა. თუ ორივე მისაღებია, სერტიფიკატი იმარჯვებს სასიცოცხლო ციკლში ზედამხედველობადი პარკისთვის, ხოლო პაროლი დაყენების შრომაში რამდენიმე მოწყობილობისთვის.
ჩაწერეთ არჩეული მეთოდი განლაგების ჩანაწერში პროფილის იდენტიფიკატორის გვერდით, თორემ პროფილზე შემდეგი შემხებელი მეორეს აირჩევს.
შემდეგ გამოყავით აქტივაცია აუთენტიფიკაციისგან
VPN On Demand ხსნის გვირაბს, როცა კონფიგურირებული პირობა დაემთხვევა — იქნება ეს DNS დომენი, ინტერფეისის ტიპი თუ შეერთებული ქსელი, და Apple ამას აღწერს, როგორც მომხმარებლის ურთიერთქმედებას არ მოითხოვს. ეს კარგად ერგება კერძო რესურსებს, რომლებიც ხელმისაწვდომი უნდა გახდეს მხოლოდ მაშინ, როცა რაღაც მათ ითხოვს. ეს არ არის იგივე, რაც მართული Always On, რომელიც დაფარვას იძულებით ინახავს და მოაქვს საკუთარი ზედამხედველობისა და პროფილის მოთხოვნები.
მოქმედი მონაცემები არც ერთ შემთხვევაში არაფერს აკეთებს. ბევრ iPad-ს სრულიად კარგი სერტიფიკატი აქვს და მაინც ხელით შეხებას ელოდება, რადგან არც ერთი მოთხოვნის წესი არასდროს ამოქმედებულა.
გადაეცით მოთხოვნა იმ ფორმით, რომლითაც ადმინისტრატორს შეუძლია იმოქმედოს: ამ iPad-მა უნდა მიაღწიოს ამ რესურსებს მომხმარებლის განმეორებადი შეყვანის გარეშე, ამ ტიპის მონაცემებით და ამ აქტივაციისა და ხარვეზის წესებით. თუ მიმდინარე სერვისი ვერ აკმაყოფილებს ამ პირობებს, განმეორებადი მოთხოვნები ის პოლიტიკაა, რომელიც განზრახულად მუშაობს.