Сіз бәріне бір VPN профилін жібердіңіз, ал оның ішінде құпиясөзіңіз бар

Профиль таза орнатылады, бәрі қосылады, содан кейін тіркелгі құпиясөзі ауысады. Файлды алған әр құрылғы сол минутта аутентификацияны тоқтатады, өйткені олардың бәрі бірдей құпияны алып жүреді. Бұл — белгі: ортақ артефактіге көшірілген бір тіркелгі дерегі күнделікті құпиясөз ауыстыруды бүкіл флоттың іркілісіне айналдырады. Қайта пайдаланылатын конфигурация мен жеке сәйкестікті екі бөлек беру ретінде ұстау мұны болдырмайды, ал Apple-тің өзінің құрылғыларды басқару құжаттамасы профильдерді параметрлер мен рұқсат ретінде қарастырады, құпиялар қоймасы ретінде емес.

Симптом алғашқы айналдыруда пайда болады

mobileconfig файлы — XML немесе қол қойылған plist. Көшірмесі бар кез келген адам жүктемені декодтап, ішіндегіні оқи алады, сондықтан үлгідегі AuthPassword мәні — сирек кездесетін файл кеңейтімі бар ашық мәтіндегі тіркелгі дерегі. Қол қою тұтастық пен шығу тегін өзгертеді, оқылымдылықты емес. Сол уақытта шынымен бөліскіңіз келетін бөліктер, мысалы шлюз мекенжайы, күтілетін сервер сәйкестігі және трафик саясаты, барлығы үшін бірдей.

Бірдеңені өңдеу алдында өрістерді реттеңіз, өйткені шекара адамдар ойлаған жерде емес.

Ортақ параметрлерді жеке тіркелгі деректерінен бөліңіз

Интерактивті жол — құпиясөзді сыртта қалдырып, қолдау көрсетілетін аутентификация тәртібіне оны сұрауға рұқсат беру. Мұны мұқият оқыңыз: тек ұқсас көрінетін өрісті жою интерактивті кіруге әмбебап айналдыру емес. IKEv2 жүктемесі AuthName мен AuthPassword арасында ажыратады, ал аутентификация әдісі сұранысқа жалпы қол жеткізуге болатынын шешеді; сертификатқа негізделген әдіс құпиясөзді мүлде сұрамайды.

Сертификаттарға да ортақ кілт қажет емес

Егер шлюз сертификатты аутентификацияны күтсе, ниеттегі пайдаланушы немесе құрылғы сәйкестігін бекітілген механизм арқылы тіркеңіз және жеке кілтті үлгіден тыс ұстаңыз. Әр көшірмедегі бір ортақ жеке кілт сізге сол айналдыру мәселесін нашаррақ әсер радиусымен береді, өйткені кілтті адам бойынша кері қайтару мүмкін емес, егер ол адам бойынша берілмесе.

Сол сәйкестіктің берілуін, жаңартылуын және күшін жоюын профиль ревизиясымен қатар жазып отырыңыз. Екеуі бірге бақыланса, жаңарту оқиға емес, жоспарланған тапсырма болады.

Қадағалаусыз машиналарға үшінші жауап керек

Біреу жүйеге кірместен бұрын қосылуы керек машина сұранысқа жауап бере алмайды. Бұл жүйеге кірген адам үшін орнатуды жеңілдетуден өзгеше талап және оны шлюз иесімен келісілген басқарылатын сәйкестік немесе әр құрылғыға арналған сертификатпен шешу керек, профильде адам құпиясөзін сақтаумен емес.

Құпиясөзді сақтау екінші факторды да жоймайды. Егер шлюз MFA талап етсе, сақталған құпиясөзі бар профиль жүктелу кезінде де сәтсіз аяқталады, ал сәтсіздік жетіспейтін фактор емес, бұзылған профиль сияқты көрінеді.

Іс жүзінде жасалған артефактіні тексеріңіз

Үлгілер қалдыру арқылы өтірік айтады. Басқару қызметі немесе экспорт құралы дайын файлға тіркелгі деректерін енгізуі мүмкін, ал ілеспе сәйкестік жүктемелері немесе диагностикалық көшірмелер үлгі ешқашан көрсетпеген материалды алып жүруі мүмкін. Кім ала алатынын шешпес бұрын жасалған артефактіні ашыңыз. Сенімді шығарушы мен күтілетін сервер сәйкестігі параметрлерін де бұзбай сақтаңыз; құпиясөзді алып тастау шлюзге деген сенімді әлсіретуге себеп емес.

Егер нақты құпиясөз немесе жеке сәйкестік әлдеқашан тым кең таралса, оны шығарушыда күшін жойып, ауыстырыңыз. Ертеңгі үлгіні өңдеу әлдеқашан орнатылған көшірмелерге ештеңе істемейді, және ол көшірмелер артындағы тіркелгі дерегі қайтарып алынғанша аутентификацияны жалғастырады.

Беруді сынақ сәйкестігімен қабылдаңыз

Бекітілген ағынмен бөлек сынақ сәйкестігі ретінде тіркелген құрылғыға орнатыңыз, ниеттегі аутентификацияны аяқтаңыз және тек туннельдің көтерілуін тамашалаудың орнына жеке ресурсқа жетіңіз. Профильде тіркелгі деректерінің материалы жоқ екенін растаңыз, содан кейін тіркелгі дерегі жаңартылатын сәйкестік жазбасында бар екенін растаңыз. Осы жұп — қабылдау сынағы.

Ортақ параметрлерге бір ревизия, әр адамға бір жазба және шынымен бір рет қолданған күшін жою жолы.