iPhone'го кол коюулган VPN профилин орнотуу? Пайдалуу жүктөрдү окуңуз

Профилдер жөндөөлөрдө аты, кол коюучу жана орнотуу баскычы менен чыгат, ал эми адамдар көбүнчө окуган бөлүгү — кол коюучу сабы. Бул сап бир гана суроого жооп берет: кол тамганы текшерүү эрежелери боюнча бул жөндөөлөрдү ким таңгактаган. Ал VPN жүгү сиздин жумуш берүүчүңүздүн шлюзуна багытталганын же киргизилген түпкү сертификат сиздин TLS ишеним кампаңызга тиешелүү экенин айтпайды. Төмөнкү сереп таңгакты түзмөк колдоно турган тартипте ачат.

Конверттен баштаңыз: бул профилге ким кол койду

iOS'то профиль жөндөөлөрдө, жалпы бөлүмдө, VPN жана түзмөктү башкарууда чыгат, кол коюучу орнотуу баскычынын үстүндө көрсөтүлөт. Бир нерсеге баспай туруп ошол атты окуп, ал жөндөөлөрдү алууну күткөн уюм экенин сураңыз. Тааныбаган тараптын жарактуу кол тамгасы да жарактуу кол тамга бойдон калат жана ал сиздикинин эмес, алардын конфигурациясын уруксат кылат. Ошол эле экран профилге кол коюулганын же коюлбаганын да билдирет.

Эгер файл Mac'та болсо, ал телефонго жетээрден мурун текшериңиз. Коопсуздук куралы CMS конвертин ачып, түзмөк окуй турган plist'ти чыгарат, башкача айтканда орнотуу баскычы тоскоол болбогон ошол эле мазмун. Apple'дын конфигурацияны аткаруу тууралуу документи кол тамганы келип чыгууну текшерүү деп сүрөттөйт жана ушул жерде каралган чөйрө дал ошол.

security cms -D -i corp-vpn.mobileconfig -o corp-vpn.plist
plutil -p corp-vpn.plist

Кол коюучу күткөн адамыңыз болбосо, же файл кол коюлбаган бойдон ага кепилдик бере албаган канал аркылуу келсе, ушул жерде токтоңуз. Бул серептин кийинки эч бир бөлүгү ишенимсиз конвертти ишенимдүү кыла албайды.

Ар бир жүктү ачып, эмнени орнотоорун атаңыз

Профиль — контейнер, ал эми кызыктуу бөлүгү анын ичиндеги PayloadContent массиви. Ар бир жазууда түзмөк эмнени орнотоорун айткан PayloadType бар: башкарылуучу VPN конфигурациясы, PKCS#12 идентификациясы, түпкү сертификат же башкаруу каттоосу. Каалаган жөндөөнү окуудан мурун түрлөрүн чыгарыңыз.

plutil -extract PayloadContent xml1 -o - corp-vpn.plist |
  grep -E 'PayloadType|PayloadDisplayName'

VPN жүгү байланышты атайт: сервер дареги, аутентификация ыкмасы жана мүмкүн колдонмого арналган же суроо боюнча эреже. Идентификация жүгү ошол байланыш сунуштай турган кардардык далилди берет. Түпкү сертификаттын жүгү ишеним таянычын кошот, ал эми башкаруу жүгү тынымсыз көзөмөлдү серверге өткөрөт. Бул төрт ар башка милдеттенме жана кол тамга таңгакты камтыйт, алардын ар бирин өзүнчө ырастабайт. Аларды ушул тартипте окуңуз, анткени VPN идентификациясыз пайдасыз, ал эми идентификация ким бергенин билбесеңиз аз нерсени билдирет.

Файлдагы сырсөз коргоосу — дагы өзүнчө касиет. Шифрленген таңгак мазмунду сырсөзү жок адамдан жашырат, бирок ичиндегини уруксат кылуу керекпи дегенди чечпейт. Сырсөздү текшерүү эмес, жеткирүү механизми катары караңыз.

Сертификаттарды аларды колдонгон байланышка чейин көзөмөлдөңүз

Таңгактагы сертификаттарды тизмелеп, ар бирин бир ишке дал келтириңиз. Кардардык сертификат бул түзмөктү шлюзга таанытат, аны берген CA ошол байланыштын ишеним чынжырына кирет, ал эми прокси же ички кызмат үчүн орнотулган түпкү сертификат бардык HTTPS сайттарынын таянычы боло бербейт. iOS'то кол менен орнотулган түпкү сертификат жөндөөлөрдө, маалыматта, сертификат ишенимин орнотуу бөлүмүндө күйгүзгөнгө чейин TLS үчүн ишенимсиз бойдон калат, ал эми башкаруу аркылуу жеткирилген түпкү сертификат бул кадамсыз эле ишенимдүү. Ушул айырмачылык жүктүн максаты эмне үчүн маанилүү экенин так түшүндүрөт.

openssl pkcs7 -inform DER -in corp-vpn.mobileconfig -print_certs -noout
security find-certificate -a -c "Corp Root" -p | openssl x509 -noout -subject -dates

Трафигиңизди өткөргөн провайдер ошол себептен кирген ар бир сайттын TLS акыркы чекити боло бербейт. Ортосуна кирүү үчүн трафик жолу жана колдонмо кабыл ала турган ишеним таянычы керек, ал эми бир сертификаты бар профиль экөөнү тең далилдебейт. Профиль орнотуу баарын дешифрлейт деп божомолдобой, кайсы байланыш сертификатты колдоноорун жана кайсы колдонмолор аны кабыл аларын сураңыз.

Орноткондон кийин: текшериңиз жана өчүрүү эмне кыларын билиңиз

Профиль орнотулгандан кийин аны жүктөлгөн файлдан эмес, түзмөктөн ырастаңыз. Жөндөөлөр экраны орнотулган профилди, анын кол коюучусун жана жүктөрүн тизмелейт, ал эми VPN экраны байланыш көздөгөндөй конфигурацияланганын көрсөтөт. Жүктөлгөн файлды өчүрүү эч нерсени өчүрбөйт; орнотулган конфигурация өзүнчө объект.

profiles show -type configuration
scutil --nc list

Профиль башкаруу каттоосун камтыса, өчүрүүнүн кесепеттерин орноткондон кийин эмес, мурун окуңуз. Ошол каттоону өчүрүү ага байланышкан конфигурацияларды кошо ала кетет жана түзмөк кантип катталганына жараша башкарылуучу колдонмолорду да өчүрүшү мүмкүн. Бул сертификат туура эмес көрүнгөндө сынап көрө турган оңдоо кадамы эмес. Бир нерсени өчүрүүдөн мурун администратордон кайсы жүк маселени жаратып жатканын сураңыз.

Сереп төрт өзүнчө жооп менен аяктайт: таңгакка ким кол койду, ал кайсы жүктөрдү орнотот, ар бир байланыш кайсы идентификация жана ишенимди колдонот жана өчүрүү эмнени алып кетет. Аларды өзүнчө кармасаңыз, кол коюулган профиль жашыл белги эмес, каралган чечимге айланат.