iPad-ке өзінің VPN клиенттік сертификаты қажет пе?

Жаңа iPad командаға қосылады, ал ең жылдам жол — бар клиенттік сертификатты экспорттап, оны планшетке орнату. Бұл біреу кетіп, құрылғысын жоғалтып немесе қай құрылғы қашан қосылғанын көрсететін аудит сұрағанға дейін жұмыс істейді. Шешім сертификат файлы туралы емес, сәйкестендіру туралы: әр құрылғыны жеке рұқсат етіп, жоюға бола ма. Шығын мен басқару күші жауапты анықтайды және екеуі де көрінгеннен кіші.

Ортақ эмитент, бөлек сәйкестендірулер

Әр құрылғы бір сертификат органына сене алады және бір шлюзге қосыла алады, бірақ басқа клиенттік сәйкестендіруге ие. Эмитент — сенім тірегі, ал сәйкестендіру — сервер субъектісін саясатқа сәйкестендіретін кілт жұбы. Осы екеуін шатастыру ортақ сертификатты зиянсыз сезінуге әкеледі. Ол тек біреу қай құрылғы сессия ашқанын білуі керек болғанша зиянсыз болып қалады.

Эмитентті бөлісу конфигурация жұмысын үнемдейді және құрылғы бойынша есептілікте ештеңені өзгертпейді. Сәйкестендіруді бөлісу әр құрылғыны бір кері қайтарылатын бірлікке жинайды: біреуін жою барлығын жояды, ал алмастырғышты рұқсат ету қашанда жасалған кілттің әр көшірмесін рұқсат етеді. Бұл айырбасты жұма күні түстен кейін жылдамырақ болғандықтан файл көшіруден гөрі ашық түрде жасаған жөн.

Екінші сертификат тым қымбат түскенде

Құрылғы бойынша тіркеу бір қадамға тұрады: басқарылатын профиль, SCEP сұранысы немесе бір реттік құпиясөзбен бағытталған импорт. Ол сондай-ақ сериялық нөмірлер мен мерзімдерді бақылайтын орынды талап етеді, бұл — көптеген орналастырулар бірінші сертификат бітпейінше ұмытатын бөлік. Екі шығын да бір реттік және тіркеу ағыны оларды автоматтандырған кезде екеуі де азаяды.

Шығын екі планшеті және бір пайдаланушысы бар үй шаруашылығы үшін нақты, онда ортақ сәйкестендіру бір сөйлеммен құжатталған орынды шешім. Бірақ қатынасты әр адам немесе әр құрылғы бойынша қайтарып алу қажет қызмет үшін ол орынды емес, өйткені жою тарихы — құпиясөздің орнына сертификаттарды қолданудың барлық себебі. Орналастыруды бүгін қанша құрылғы бар екенімен емес, құрылғылардың қолдан қолға қаншалықты жиі ауысатынымен бағалаңыз.

Құрылғыны тіркеңіз, кілтті көшірмеңіз

Заманауи платформалар жеке кілттерді қорғалған қоймада ұстайды, ал кейбіреуі оларды дизайн бойынша экспортталмайтын деп белгілейді. Дәл осы қасиет көшіруді әуел бастан мүмкін етпейді және ноутбуктен экспортталған буманы планшетке қандай да бір қолдау көрсетілген тәсілмен қайта импорттауға болмайтынының себебі де осы. Соған қарамастан әрекет ету таза орнатылатын, содан кейін ешқашан аутентификация жасамайтын профиль жасайды.

Орналастыру қолдайтын тіркеу әдісін пайдаланыңыз: басқарылатын сәйкестендіру профилі, SCEP қызметі немесе құрылғыда жаңа кілт шығаратын тіркелгіге негізделген ағын. Жетіспейтін сәйкестендіруді шешу үшін сертификат органының жеке кілтін тарату — әсер ету аясы әлдеқайда үлкен басқа қате. Орган куәліктер шығарады және ешқашан соңғы нүктеге бармауы керек.

Жауап бермес бұрын жоюды тексеріңіз

Ортақ нұсқаны таңдамас бұрын жоюдың ең нашар күні қалай көрінетінін сипаттаңыз. Егер жауап бірнеше құрылғыға әсер ететін бір әрекет болса, дизайн қазірдің өзінде сізге қарсы шешім қабылдаған.

openssl pkcs12 -in client.p12 -info -noout
openssl x509 -in client.pem -noout -subject -issuer -serial -dates
openssl verify -CAfile ca.pem client.pem

Шын мәнінде қолыңызда бар материалды тексеріңіз: жеке кілт бар ма, субъект не дейді және сериялық нөмірді бөлек жоюға бола ма. Кілті жоқ сертификат файлы ештеңені аутентификациялай алмайды, сондықтан кейбір көшірілген сәйкестендірулер бірінші қосылыста сәтсіз аяқталады.

Планшеттен қолданбаны жою — жою емес, ал сервер біреу оны өшірмейінше сәйкестендіруді қабылдай береді. Бірінші құрылғы тіркелмей тұрып, осы сөйлемді нұсқаулыққа жазыңыз.