iPad'деги VPN сырсөз сурабай: сертификаттар же сакталган кирүү
Сакталган сырсөз жана түзмөк сертификаты суроону ар башкача алып салат. Аларды салыштырып, анан туннелди эмне ачарын өзүнчө чечиңиз.
«Менден сырсөз сураганды токтотуңуз» деген сөз чындыгында бир даттанууга үч талапты бириктирет, ал эми iPad'ге орнотуу аларга ар башка жерлерде жооп берет. Суроо аутентификациядан, убакыт активдештирүүдөн, ал эми камтуу мажбурлоодон келет. Адегенде суроону алып салган кирүү маалыматын тандаңыз, анан туннелдин качан ачыларын аныктаган нерсени өзүнчө чечиңиз. Бул эки чечимди аралаштыруу — сакталган сырсөздүн дагы эле тийүүнү күтүп турган профилге түшүшүнүн так себеби.
| Saved or shared secret | Device certificate | |
|---|---|---|
| What the user sees | no prompt while the credential stays valid | no prompt, no password to rotate |
| What the admin manages | the secret in the profile and its distribution | enrollment, expiry and revocation per device |
| Typical failure | gateway demands a second factor | expired or revoked certificate |
Бир даттануудагы эки маселе
iPad'деги жергиликтүү IKEv2 конфигурациясы сырсөзгө же сертификатка шилтеме бере алат, AuthenticationMethod ачкычы кайсынысы колдонуларын чечет, ал эми PayloadCertificateUUID идентитетти берген кирүү маалыматын атайт. Алардын кайсынысын шлюз кабыл алары — сервер саясатынын маселеси, кардардын каалоосу эмес. Ошондуктан эң оболу VPN кызматы эмнеге жол берерин аныктоо керек, анткени iPad каршы тарап баш тарткан ыкмага макулдаша албайт.
Ушундан кийин гана туннелдин качан активдешери тууралуу сүйлөшүүнүн мааниси бар, ал эми бул таптакыр башка профиль ачкычтарынын жыйындысы.
Биринчи вариант: iPad кайра колдоно алган кирүү маалыматы
Сакталган эсеп сырсөзү же жалпы сыр аутентификациялоочу шлюзду канааттандырат жана сыр жарактуу болгонго чейин суроону алып салат. Анын алсыздыгы — жашоо цикли: сыр профилде жатат, аны бир нече түзмөк бөлүшү мүмкүн, ал эми ротация аны кармаган ар бир профилди козгоону билдирет. Эгер кызмат кошумча бир жолку факторду же интерактивдүү макулдукту талап кылса, эч бир жергиликтүү жөндөө бул саясатты көзөмөлсүз кирүүгө айландырбайт.
Бир колдонмо сактаган сырсөз да башка VPN ишке ашырылышына автоматтык түрдө жеткиликтүү боло бербейт, ошондуктан ошол эле эсеп бир кардарда суроону токтотуп, экинчисинде ар жолу сурай алат.
Экинчи вариант: өз ачкычы бар түзмөк сертификаты
Сертификат суроону бекем жол менен алып салат, анткени iPad сырды кайталоонун ордуна жеке ачкычка ээ экенин далилдейт. Бул үчүн акыркы сертификат жана анын ачкычы бекитилген каттоо жолу менен келиши жана шлюз ошол туташуу үчүн сертификат менен аутентификацияны кабыл алышы керек. Жалгыз CA сертификатын импорттоо түзмөккө ишеним материалын берет, башка эч нерсе бербейт, бул кеңири тараган жана байкалбаган ката.
Анын баасы — жашоо цикли боюнча жумуш. Ар бир iPad өз идентитетин алат, ошондуктан жоголгон түзмөктү бүт паркты кайра чыгарбай эле кайтарып алууга болот, ал эми мөөнөтүнүн бүтүү күндөрү чыныгы операциялык окуяларга айланат. Үнсүз бүткөн сертификат ошол таңда VPN иштебей калгандай көрүнөт.
Тандоону каалоо боюнча эмес, шлюз эмнени кабыл аларына жараша жасаңыз
VPN администраторуна эки суроо бериңиз: кызмат бул кардар түрү үчүн кайсы аутентификация ыкмаларын кабыл алат жана алардын бири интерактивдүү киргизүүнү талап кылабы. Жооп тек гана сертификат болсо, каттоо жана жаңыртууну пландаңыз. Жооп сырсөз кошумча экинчи фактор болсо, суроонун саясат экенин кабыл алыңыз жана аны түзмөктүн бузулушу деп эсептөөнү токтотуңуз. Экөө тең кабыл алынса, көзөмөлдөнгөн парк үчүн жашоо циклинде сертификат, ал эми бир нече түзмөк үчүн орнотуу жумушунда сырсөз жеңет.
Тандалган ыкманы профиль идентификаторунун жанындагы орнотуу жазуусуна жазыңыз, антпесе профилге кийинки тийген адам экинчисин тандайт.
Анан активдештирүүнү аутентификациядан бөлүңүз
VPN On Demand конфигурацияланган шарт дал келгенде туннелди ачат — DNS домени, интерфейс түрү же кошулган тармак болсун, жана Apple муну колдонуучунун аракетин талап кылбаган нерсе катары сүрөттөйт. Бул бир нерсе сураганда гана жеткиликтүү болушу керек болгон жеке ресурстарга жакшы туура келет. Бул камтууну мажбурлап кармаган жана өзүнүн көзөмөл жана профиль талаптарын алып келген башкарылуучу Always On менен бирдей эмес.
Иштеп турган кирүү маалыматы эки учурда тең эч нерсе бербейт. Көптөгөн iPad'дерде толук жарактуу сертификат бар, бирок эч кандай суроо эрежеси иштебей калгандыктан, алар дагы эле кол менен тийүүнү күтүшөт.
Талапты администратор аракет кыла ала турган формада бериңиз: бул iPad бул ресурстарга колдонуучунун кайталануучу киргизүүсүз, ушул кирүү маалыматынын түрү менен жана ушул активдештирүү жана бузулуу эрежелери боюнча жетиши керек. Эгер азыркы кызмат бул шарттарды аткара албаса, кайталануучу суроолор — пландалгандай иштеп жаткан саясат.