iPhone-ға қол қойылған VPN профилін орнату? Пайдалы жүктемелерді оқыңыз

Профильдер параметрлерде атауымен, қол қоюшымен және орнату батырмасымен бірге пайда болады, ал адамдар көбіне оқитын бөлігі — қол қоюшы жолы. Бұл жол бір ғана сұраққа жауап береді: қолтаңбаны тексеру ережелері бойынша бұл параметрлерді кім қаптаған. Ол VPN пайдалы жүктемесі сіздің жұмыс берушіңіздің шлюзіне сілтейді деп, немесе енгізілген түбірлік сертификат сіздің TLS сенім қоймаңызға тиесілі деп айтпайды. Төмендегі шолу қаптаманы құрылғы қолданатын ретпен ашады.

Конверттен бастаңыз: бұл профильге кім қол қойды

iOS-те профиль параметрлерде, жалпы бөлімде, VPN және құрылғыны басқаруда пайда болады, қол қоюшы орнату батырмасының үстінде көрсетіледі. Бірдеңеге баспас бұрын сол атауды оқып, ол параметрлерді алуды күткен ұйым ба екенін сұраңыз. Танымайтын тараптың жарамды қолтаңбасы да жарамды қолтаңба болып қалады және ол сіздің емес, олардың конфигурациясын рұқсат етеді. Сол экран профильге қол қойылғанын немесе қойылмағанын да көрсетеді.

Файл Mac-та болса, ол телефонға жетпей тұрып тексеріңіз. Қауіпсіздік құралы CMS конвертін ашып, құрылғы оқитын plist-ке шығарады, яғни орнату батырмасы кедергі жасамаған сол мазмұн. Apple-дың конфигурацияны орындау туралы құжаты қолтаңбаны шығу тегін тексеру деп сипаттайды және бұл дәл осында қарастырылған ауқым.

security cms -D -i corp-vpn.mobileconfig -o corp-vpn.plist
plutil -p corp-vpn.plist

Қол қоюшы күткен адамыңыз болмаса немесе файл қол қойылмаған күйде сенімге кепілдік бере алмайтын арна арқылы келсе, осы жерде тоқтаңыз. Осы шолудың кейінгі ешбір бөлігі сенімсіз конвертті сенімді ете алмайды.

Әр пайдалы жүктемені ашып, оның не орнататынын атаңыз

Профиль — контейнер, ал қызықты бөлігі — оның ішіндегі PayloadContent массиві. Әр жазбада құрылғының нені орнататынын айтатын PayloadType бар: басқарылатын VPN конфигурациясы, PKCS#12 идентификациясы, түбірлік сертификат немесе басқару тіркелімі. Кез келген параметрді оқымас бұрын түрлерін шығарыңыз.

plutil -extract PayloadContent xml1 -o - corp-vpn.plist |
  grep -E 'PayloadType|PayloadDisplayName'

VPN пайдалы жүктемесі қосылымды атайды: сервер мекенжайы, аутентификация әдісі және мүмкін қолданбаға арналған немесе сұраныс бойынша ереже. Идентификация пайдалы жүктемесі сол қосылым ұсынатын клиенттік тіркелгі деректерін береді. Түбірлік сертификат пайдалы жүктемесі сенім тірегін қосады, ал басқару пайдалы жүктемесі тұрақты бақылауды серверге береді. Бұл төрт түрлі міндеттеме және қолтаңба қаптаманы қамтиды, олардың әрқайсысын бөлек растамайды. Оларды осы ретпен оқыңыз, өйткені VPN идентификациясыз пайдасыз, ал идентификация кім бергенін білмесеңіз, аз нәрсе білдіреді.

Файлдағы құпиясөз қорғанысы — тағы бір бөлек қасиет. Шифрланған қаптама мазмұнды құпиясөзі жоқ адамнан жасырады, бірақ ішіндегіні рұқсат ету керек пе дегенді шешпейді. Құпиясөзді тексеру емес, жеткізу тетігі деп қараңыз.

Сертификаттарды оларды пайдаланатын қосылымға дейін бақылаңыз

Қаптамадағы сертификаттарды тізіп, әрқайсысын бір іске сәйкестендіріңіз. Клиенттік сертификат бұл құрылғыны шлюзге танытады, оны берген CA сол қосылымның сенім тізбегіне кіреді, ал прокси немесе ішкі қызмет үшін орнатылған түбірлік сертификат барлық HTTPS сайттарының тірегі бола бермейді. iOS-те қолмен орнатылған түбірлік сертификат параметрлерде, ақпаратта, сертификат сенімін орнату бөлімінде қосқанша TLS үшін сенімсіз болып қалады, ал басқару арқылы жеткізілген түбірлік сертификат бұл қадамсыз сенімді. Осы айырмашылық пайдалы жүктеменің мақсаты неге маңызды екенін дәл түсіндіреді.

openssl pkcs7 -inform DER -in corp-vpn.mobileconfig -print_certs -noout
security find-certificate -a -c "Corp Root" -p | openssl x509 -noout -subject -dates

Трафигіңізді өткізетін провайдер сол себептен кірген әрбір сайттың TLS соңғы нүктесі бола бермейді. Араласу үшін трафик жолы мен қолданба қабылдайтын сенім тірегі қажет, ал бір сертификат бар профиль екеуін де дәлелдемейді. Профильді орнату бәрін дешифрлейді деп болжамай, қай қосылым сертификатты пайдаланатынын және қай қолданбалар оны қабылдайтынын сұраңыз.

Орнатқаннан кейін: тексеріңіз және жою не істейтінін біліңіз

Профиль орнатылған соң оны жүктелген файлдан емес, құрылғыдан растаңыз. Параметрлер экраны орнатылған профильді, қол қоюшыны және пайдалы жүктемелерді тізеді, ал VPN экраны қосылымның көзделгендей конфигурацияланғанын көрсетеді. Жүктелген файлды жою ештеңені жоймайды; орнатылған конфигурация — бөлек нысан.

profiles show -type configuration
scutil --nc list

Профильде басқару тіркелімі болса, жою салдарын орнатқаннан кейін емес, бұрын оқыңыз. Сол тіркелімді жою онымен байланысты конфигурацияларды алып кетеді және құрылғы қалай тіркелгеніне байланысты басқарылатын қолданбаларды да жоюы мүмкін. Бұл сертификат дұрыс емес көрінгенде қолданылатын жөндеу қадамы емес. Бірдеңені жоймас бұрын әкімшіден қай пайдалы жүктеме мәселені тудырып тұрғанын сұраңыз.

Шолу төрт бөлек жауаппен аяқталады: қаптамаға кім қол қойды, ол қандай пайдалы жүктемелерді орнатады, әр қосылым қандай идентификация мен сенімді пайдаланады және жою нені алып кетеді. Оларды бөлек ұстасаңыз, қол қойылған профиль жасыл белгі емес, қаралған шешімге айналады.