iPad VPN에서 비밀번호 입력 없애기: 인증서와 저장된 로그인의 차이
저장된 비밀번호와 기기 인증서는 입력을 서로 다른 방식으로 없앱니다. 둘을 비교한 뒤 터널을 여는 조건은 따로 정하십시오.
«비밀번호를 묻지 마세요»라는 요구에는 사실 세 가지 조건이 함께 들어 있고, iPad 배포는 각각을 다른 지점에서 해결합니다. 입력을 요구하는 것은 인증이고, 시점을 정하는 것은 활성화이며, 범위를 정하는 것은 강제 적용입니다. 먼저 입력을 없애는 자격 증명을 고르고, 터널이 열리는 조건은 따로 정하십시오. 이 두 결정을 섞으면 저장된 비밀번호가 있는데도 여전히 탭을 기다리는 프로파일이 만들어집니다.
| Saved or shared secret | Device certificate | |
|---|---|---|
| What the user sees | no prompt while the credential stays valid | no prompt, no password to rotate |
| What the admin manages | the secret in the profile and its distribution | enrollment, expiry and revocation per device |
| Typical failure | gateway demands a second factor | expired or revoked certificate |
하나의 불만에 담긴 두 가지 문제
iPad의 기본 IKEv2 구성은 비밀번호나 인증서를 참조할 수 있으며, AuthenticationMethod 키가 어느 쪽을 적용할지 결정하고 PayloadCertificateUUID 가 신원을 제공하는 자격 증명을 지정합니다. 게이트웨이가 둘 중 무엇을 받아들일지는 서버 정책의 문제이지 클라이언트의 선호가 아닙니다. 따라서 먼저 VPN 서비스가 무엇을 허용하는지 확인해야 합니다. iPad는 상대편이 거부하는 방식으로 협상해 갈 수 없기 때문입니다.
그다음에야 터널이 언제 활성화되는지 이야기할 의미가 생기는데, 그것은 전혀 다른 프로파일 키의 집합입니다.
첫 번째 선택지: iPad가 다시 사용할 수 있는 자격 증명
저장된 계정 비밀번호나 공유 암호는 사용자나 그룹을 인증하는 게이트웨이를 만족시키고, 암호가 유효한 동안 입력을 없앱니다. 약점은 수명 주기입니다. 암호가 프로파일에 들어 있고 여러 기기가 이를 공유할 수 있으며, 교체하려면 그것을 담은 모든 프로파일을 손봐야 합니다. 서비스가 일회용 요소나 대화형 승인을 추가로 요구한다면 어떤 로컬 설정도 그 정책을 무인 로그인으로 바꾸지 못합니다.
한 앱이 저장한 비밀번호가 다른 VPN 구현에 자동으로 제공되지는 않으므로, 같은 계정이 한 클라이언트에서는 묻지 않다가 다른 클라이언트에서는 매번 물을 수 있습니다.
두 번째 선택지: 자체 키가 있는 기기 인증서
인증서는 더 강한 방식으로 입력을 없앱니다. iPad가 암호를 재생하는 대신 개인 키의 보유를 증명하기 때문입니다. 이를 위해서는 리프 인증서와 그 키가 승인된 등록 경로로 도착해야 하고, 게이트웨이가 해당 연결에 대해 인증서 인증을 받아들여야 합니다. CA 인증서만 가져오면 기기에는 신뢰 자료만 들어가고 그 밖에는 아무것도 들어가지 않으며, 이것이 흔하고 조용한 실패입니다.
대가는 수명 주기 작업입니다. 각 iPad가 고유한 신원을 받아야 분실한 기기를 전체 재발급 없이 폐기할 수 있고, 만료일은 실제 운영 이벤트가 됩니다. 조용히 만료되는 인증서는 그것이 일어난 아침의 VPN 장애와 똑같아 보입니다.
선호가 아니라 게이트웨이가 받아들이는 것을 기준으로 고르십시오
VPN 관리자에게 두 가지를 물으십시오. 이 클라이언트 유형에 대해 서비스가 어떤 인증 방식을 허용하는지, 그리고 그중 대화형 입력이 필요한 것이 있는지. 답이 인증서뿐이라면 등록과 갱신을 계획하십시오. 답이 비밀번호와 두 번째 요소라면 입력은 정책이라고 받아들이고 기기 결함으로 취급하지 마십시오. 둘 다 허용된다면 관리되는 기기군에서는 수명 주기에서 인증서가 이기고, 몇 대의 기기에서는 설정 수고에서 비밀번호가 이깁니다.
다음 사람이 프로파일을 손볼 때 다른 방식을 고르지 않도록, 선택한 방식을 프로파일 식별자와 함께 배포 기록에 적으십시오.
다음으로 활성화와 인증을 분리하십시오
VPN On Demand는 설정된 조건이 일치할 때 터널을 엽니다. DNS 도메인이든 인터페이스 유형이든 가입한 네트워크든 마찬가지이며, Apple은 사용자 상호작용이 필요 없다고 문서화합니다. 이는 무언가 요청할 때만 접근 가능해야 하는 사설 자원에 적합하며, 적용 범위를 강제로 유지하고 자체적인 감독과 프로파일 요구 사항을 동반하는 관리형 Always On과는 다릅니다.
작동하는 자격 증명이 있다고 해서 두 경우 모두 해결되지는 않습니다. 많은 iPad가 완전히 정상인 인증서를 갖고도 요청 시 규칙이 한 번도 발동하지 않아 수동 탭을 기다립니다.
요구 사항을 관리자가 실행할 수 있는 형태로 넘기십시오. 이 iPad는 반복적인 사용자 입력 없이, 이 유형의 자격 증명과 이 활성화 및 장애 규칙 아래에서 이 자원에 접근할 수 있어야 합니다. 현재 서비스가 그 조건을 충족하지 못한다면, 반복되는 입력은 설계대로 작동하는 정책입니다.