ერთი VPN პროფილი ყველას გაუგზავნეთ და მასში თქვენი პაროლია
Apple VPN-ის საერთო პროფილი შემოიფარგლეთ მხოლოდ პარამეტრებით და თითოეულს მიეცით საკუთარი ავტორიზაციის მონაცემი. გაყავით გადაცემა ორად, შემდეგ შეცვალეთ გაჟონილი პაროლები გამომცემთან.
პროფილი სუფთად ინსტალირდება, ყველა უკავშირდება, შემდეგ კი ანგარიშის პაროლი იცვლება. ფაილის მიმღები ყოველი მოწყობილობა იმავე წუთში წყვეტს ავთენტიფიკაციას, რადგან ყველა ერთსა და იმავე საიდუმლოს ატარებს. ეს არის ნიშანი: ერთი ავტორიზაციის მონაცემი, გადაწერილი საერთო არტეფაქტში, ჩვეულებრივ პაროლის შეცვლას მთელი ფლოტის გათიშვად აქცევს. მრავალჯერადი კონფიგურაციისა და ინდივიდუალური იდენტურობის ორ ცალკე გადაცემად შენარჩუნება თავიდან ირიდებს ამას, და Apple-ის საკუთარი მოწყობილობების მართვის დოკუმენტაცია პროფილებს პარამეტრებად და უფლებამოსილებად განიხილავს, და არა საიდუმლოების საცავად.
სიმპტომი პირველ გადახვევაზე ჩნდება
mobileconfig ფაილი XML ან ხელმოწერილი plist-ია. ნებისმიერს, ვისაც ასლი აქვს, შეუძლია დატვირთვის გაშიფვრა და წაკითხვა, ამიტომ შაბლონში AuthPassword მნიშვნელობა ღია ტექსტის ავტორიზაციის მონაცემია არაჩვეულებრივი ფაილის გაფართოებით. ხელმოწერა ცვლის მთლიანობას და წარმომავლობას, და არა წაკითხვადობას. იმავდროულად, ნაწილები, რომელთა გაზიარებაც ნამდვილად გსურთ, მაგალითად კარიბჭის მისამართი, სერვერის მოსალოდნელი იდენტურობა და ტრაფიკის პოლიტიკა, ყველასთვის ერთნაირია.
დაალაგეთ ველები ყველაფრის რედაქტირებამდე, რადგან საზღვარი იქ არ არის, სადაც ადამიანები ფიქრობენ.
გამოყავით საერთო პარამეტრები ინდივიდუალური ავტორიზაციის მონაცემებისგან
| Item | Shared profile | Individual record |
|---|---|---|
| Gateway address, expected server identity | yes | no |
Traffic policy, IncludeAllNetworks, exclusions | yes | no |
| User password or account token | no | yes |
| Device identity or certificate | no | yes |
ინტერაქტიული გზა პაროლის გარეთ დატოვებაა და მხარდაჭერილი ავთენტიფიკაციის სქემისთვის მისი მოთხოვნის უფლება. წაიკითხეთ ყურადღებით: მხოლოდ მსგავსი ველის წაშლა ინტერაქტიულ შესვლაზე საყოველთაო გარდაქმნა არ არის. IKEv2 დატვირთვა ასხვავებს AuthName და AuthPassword ერთმანეთისგან, და ავთენტიფიკაციის მეთოდი წყვეტს, საერთოდ ხელმისაწვდომია თუ არა მოთხოვნა, ხოლო სერტიფიკატზე დაფუძნებული მეთოდი პაროლს საერთოდ არ იკითხავს.
სერტიფიკატებსაც არ სჭირდებათ საერთო გასაღები
თუ კარიბჭე ითხოვს სერტიფიკატით ავთენტიფიკაციას, დაარეგისტრირეთ სამიზნე მომხმარებლის ან მოწყობილობის იდენტურობა დამტკიცებული მექანიზმით და პირადი გასაღები შაბლონს გარეთ შეინახეთ. ერთი საერთო პირადი გასაღები ყოველ ასლში იძლევა იმავე გადახვევის პრობლემას უარესი ზემოქმედების რადიუსით, რადგან გასაღები ვერ გაუქმდება ადამიანზე, თუ ის ადამიანზე არ გაიცა.
ჩაწერეთ ამ იდენტურობის გაცემა, განახლება და გაუქმება პროფილის რევიზიის გვერდით. როცა ორივე ერთად თვალს მიდევნება, განახლება დაგეგმილი ამოცანაა და არა ინციდენტი.
უყურადღებო მანქანებს მესამე პასუხი სჭირდებათ
მანქანა, რომელმაც ვინმეს შესვლამდე უნდა დაუკავშირდეს, ვერ უპასუხებს მოთხოვნას. ეს განსხვავებული მოთხოვნაა შესული ადამიანისთვის დაყენების გამარტივებისგან და უნდა გადაწყდეს მართული იდენტურობით ან კარიბჭის მფლობელთან შეთანხმებული თითო მოწყობილობის სერტიფიკატით, და არა პროფილში ადამიანური პაროლის შენახვით.
პაროლის შენახვა მეორე ფაქტორსაც არ აშორებს. თუ კარიბჭე MFA-ს ითხოვს, შენახული პაროლის მქონე პროფილი მაინც ვარდება ჩატვირთვისას და წარუმატებლობა გატეხილ პროფილს ჰგავს, და არა დაკარგულ ფაქტორს.
შეამოწმეთ ის არტეფაქტი, რომელიც რეალურად შეიქმნა
შაბლონები ტყუიან გამოტოვებით. მართვის სერვისს ან ექსპორტის ხელსაწყოს შეუძლია დასრულებულ ფაილში ავტორიზაციის მონაცემები ჩასვას, ხოლო თანმხლებ იდენტურობის დატვირთვებს ან დიაგნოსტიკურ ასლებს შეუძლიათ ატარონ მასალა, რომელიც შაბლონს არასდროს უჩვენებია. გახსენით შექმნილი არტეფაქტი, სანამ გადაწყვეტთ, ვის შეიძლება მისი მიღება. ასევე ხელუხლებლად შეინახეთ სანდო გამომცემის და სერვერის მოსალოდნელი იდენტურობის პარამეტრები; პაროლის მოცილება კარიბჭის ნდობის შესუსტების მიზეზი არ არის.
თუ ნამდვილი პაროლი ან პირადი იდენტურობა უკვე ძალიან ფართოდ გავრცელდა, გააუქმეთ იგი გამომცემთან და შეცვალეთ. ხვალინდელი შაბლონის რედაქტირება არაფერს აკეთებს უკვე დაყენებულ ასლებთან და ეს ასლები გააგრძელებენ ავთენტიფიკაციას, სანამ მათ უკან არსებული ავტორიზაციის მონაცემი არ გამოქვითდება.
მიიღეთ გადაცემა სატესტო იდენტურობით
დააყენეთ დამტკიცებული ნაკადით მოწყობილობაზე, რომელიც ცალკე სატესტო იდენტურობადაა რეგისტრირებული, დაასრულეთ განკუთვნილი ავთენტიფიკაცია და მიაღწიეთ პირად რესურსამდე, და არა უბრალოდ უყუროთ გვირაბის აწევას. დაადასტურეთ, რომ პროფილი არ შეიცავს ავტორიზაციის მონაცემების მასალას, შემდეგ დაადასტურეთ, რომ ავტორიზაციის მონაცემი არსებობს განახლებულ იდენტურობის ჩანაწერში. ეს წყვილია მიღების ტესტი.
ერთი რევიზია საერთო პარამეტრებისთვის, ერთი ჩანაწერი თითო ადამიანზე და გაუქმების გზა, რომელიც ნამდვილად ერთხელ გამოგიყენებიათ.