iPad-тағы VPN құпия сөз сұрамай: сертификаттар немесе сақталған кіру
Сақталған құпия сөз бен құрылғы сертификаты сұрауды әртүрлі жолмен алып тастайды. Оларды салыстырып, содан кейін туннельді ненің ашатынын бөлек шешіңіз.
«Маған құпия сөз сұрауды қойыңыз» деген сөз шын мәнінде бір шағымға үш талапты біріктіреді, ал iPad-тағы орналастыру оларға әртүрлі жерлерде жауап береді. Сұрау аутентификациядан, уақыт белсендіруден, ал қамту мәжбүрлеуден келеді. Алдымен сұрауды алып тастайтын тіркелгі деректерін таңдаңыз, содан кейін туннельдің қашан ашылатынын анықтайтын нәрсені бөлек шешіңіз. Осы екі шешімді араластыру — сақталған құпия сөздің әлі де түртуді күтіп тұрған профильге түсуінің дәл себебі.
| Saved or shared secret | Device certificate | |
|---|---|---|
| What the user sees | no prompt while the credential stays valid | no prompt, no password to rotate |
| What the admin manages | the secret in the profile and its distribution | enrollment, expiry and revocation per device |
| Typical failure | gateway demands a second factor | expired or revoked certificate |
Бір шағымдағы екі мәселе
iPad-тағы жергілікті IKEv2 конфигурациясы құпия сөзге немесе сертификатқа сілтеуі мүмкін, ал AuthenticationMethod кілті қайсысы қолданылатынын шешеді, PayloadCertificateUUID болса идентитетті беретін тіркелгі деректерін атайды. Олардың қайсысын шлюз қабылдайтыны — сервер саясатының мәселесі, клиенттің қалауы емес. Сондықтан ең алдымен VPN қызметінің нені рұқсат ететінін анықтау керек, өйткені iPad қарсы жақ бас тартатын әдіске келісе алмайды.
Осыдан кейін ғана туннельдің қашан белсендірілетіні туралы айтудың мәні бар, ал бұл мүлде басқа профиль кілттерінің жиынтығы.
Бірінші нұсқа: iPad қайта пайдалана алатын тіркелгі деректері
Сақталған тіркелгі құпия сөзі немесе ортақ құпия пайдаланушыны немесе топты аутентификациялайтын шлюзді қанағаттандырады және құпия жарамды болғанша сұрауды алып тастайды. Оның әлсіздігі — өмірлік цикл: құпия профильде жатыр, оны бірнеше құрылғы бөлісуі мүмкін, ал ротация оны ұстайтын әрбір профильді қозғауды білдіреді. Егер қызмет қосымша бір реттік факторды немесе интерактивті мақұлдауды талап етсе, ешбір жергілікті параметр бұл саясатты бақылаусыз кіруге айналдырмайды.
Бір қолданба сақтаған құпия сөз де басқа VPN іске асырылуына автоматты түрде қолжетімді бола бермейді, сондықтан сол тіркелгі бір клиентте сұрауды қойып, екіншісінде әр уақытта сұрай алады.
Екінші нұсқа: жеке кілті бар құрылғы сертификаты
Сертификат сұрауды неғұрлым берік жолмен алып тастайды, өйткені iPad құпияны қайталаудың орнына жеке кілтке ие екенін дәлелдейді. Бұл үшін соңғы сертификат пен оның кілті бекітілген тіркеу жолымен келуі және шлюздің сол қосылым үшін сертификатпен аутентификацияны қабылдауы қажет. Тек CA сертификатын импорттау құрылғыға сенім материалын береді, басқа ештеңе бермейді, бұл жиі кездесетін және байқалмайтын қате.
Оның құны — өмірлік цикл жұмысы. Әрбір iPad өз идентитетін алады, сондықтан жоғалған құрылғыны бүкіл паркті қайта шығармай-ақ қайтарып алуға болады, ал мерзімінің біту күндері нақты операциялық оқиғаларға айналады. Үнсіз бітетін сертификат сол таңда VPN істен шыққандай көрінеді.
Таңдауды қалауға емес, шлюз қабылдайтын нәрсеге қарай жасаңыз
VPN әкімшісіне екі сұрақ қойыңыз: қызмет осы клиент түрі үшін қандай аутентификация әдістерін қабылдайды және олардың біреуі интерактивті енгізуді талап ете ме. Жауап тек сертификат болса, тіркеу мен жаңартуды жоспарлаңыз. Жауап құпия сөз қосу екінші фактор болса, сұраудың саясат екенін қабылдаңыз және оны құрылғы ақауы деп санауды қойыңыз. Екеуі де қабылданса, басқарылатын парк үшін өмірлік циклде сертификат, ал бірнеше құрылғы үшін орнату жұмысында құпия сөз жеңеді.
Таңдалған әдісті профиль идентификаторының жанындағы орналастыру жазбасына жазыңыз, әйтпесе профильге келесі тиісетін адам екіншісін таңдайды.
Содан кейін белсендіруді аутентификациядан бөліңіз
VPN On Demand конфигурацияланған шарт сәйкес келгенде туннельді ашады — DNS домені, интерфейс түрі немесе қосылған желі болсын, және Apple мұны пайдаланушының әрекетін талап етпейтін нәрсе ретінде сипаттайды. Бұл бірдеңе сұрағанда ғана қолжетімді болуы керек жеке ресурстарға жақсы сәйкеседі. Бұл қамтуды мәжбүрлеп ұстайтын және өзінің бақылау мен профиль талаптарын әкелетін басқарылатын Always On-мен бірдей емес.
Жұмыс істеп тұрған тіркелгі деректері екі жағдайда да ештеңе бермейді. Көптеген iPad-та толық жарамды сертификат бар, бірақ ешқандай сұраныс ережесі іске қосылмағандықтан, олар әлі де қолмен түртуді күтеді.
Талапты әкімші әрекет ете алатын нысанда беріңіз: бұл iPad осы ресурстарға пайдаланушының қайталанатын енгізуінсіз, осы тіркелгі деректері түрімен және осы белсендіру мен ақаулық ережелері бойынша жетуі керек. Егер қазіргі қызмет бұл шарттарды орындай алмаса, қайталанатын сұраулар — жоспарланғандай жұмыс істеп тұрған саясат.