Сиз баарына бир VPN профилин жөнөттүңүз, ал эми анын ичинде сырсөзүңүз бар
Жалпы Apple VPN профилин бир гана жөндөөлөргө калтырыңыз жана ар бирине өзүнүн каттоо далилин бериңиз. Өткөрүп берүүнү экиге бөлүңүз, анан агып кеткен сырсөздөрдү чыгаруучудан алмаштырыңыз.
Профиль таза орнотулат, баары туташат, анан эсептин сырсөзү алмашат. Файлды алган ар бир түзмөк ошол эле мүнөттө аутентификацияны токтотот, анткени баары бирдей сырды алып жүрөт. Бул — белги: жалпы артефактка көчүрүлгөн бир каттоо далили күндөлүк сырсөз алмаштырууну бүткүл флоттун ириңдүү токтоп калышына айландырат. Кайра колдонулуучу конфигурация менен жеке инсандыкты эки өзүнчө өткөрүп берүү катары сактоо муну болтурбайт, жана Apple'дын өзүнүн түзмөктөрдү башкаруу документтери профилдерди жөндөөлөр жана уруксат катары карайт, сырлардын кампасы катары эмес.
Симптом биринчи айландырууда пайда болот
mobileconfig файлы — XML же кол коюлган plist. Көчүрмөсү бар ар ким жүктөмөнү декоддоп, ичиндегини окуй алат, ошондуктан үлгүдөгү AuthPassword мааниси сейрек кездешүүчү файл кеңейтүүсү бар ачык тексттеги каттоо далили. Кол коюу бүтүндүктү жана келип чыгууну өзгөртөт, окулушту эмес. Ошол эле учурда чындап бөлүшкүңүз келген бөлүктөр, мисалы шлюз дареги, күтүлгөн сервер инсандыгы жана трафик саясаты, баары үчүн бирдей.
Бир нерсени түзөтүүдөн мурун талааларды иреттеңиз, анткени чек адамдар ойлогон жерде эмес.
Жалпы жөндөөлөрдү жеке каттоо далилдеринен бөлүңүз
| Item | Shared profile | Individual record |
|---|---|---|
| Gateway address, expected server identity | yes | no |
Traffic policy, IncludeAllNetworks, exclusions | yes | no |
| User password or account token | no | yes |
| Device identity or certificate | no | yes |
Интерактивдүү жол — сырсөздү сыртта калтырып, колдоого алынган аутентификация тартибине аны суроого жол берүү. Муну кылдат окуңуз: жөн гана окшош көрүнгөн талааны өчүрүү интерактивдүү кирүүгө универсалдуу айландыруу эмес. IKEv2 жүктөмү AuthName менен AuthPassword ортосунда айырмалайт, ал эми аутентификация ыкмасы сурамга жалпы жетүү мүмкүнбү же жокпу чечет; сертификатка негизделген ыкма сырсөздү такыр сурабайт.
Сертификаттарга да жалпы ачкыч керек эмес
Эгер шлюз сертификат аркылуу аутентификацияны күтсө, ниеттелген колдонуучунун же түзмөктүн инсандыгын бекитилген механизм аркылуу каттаңыз жана жеке ачкычты үлгүдөн тышкары кармаңыз. Ар бир көчүрмөдөгү бир жалпы жеке ачкыч сизге ошол эле айландыруу көйгөйүн начарраак таасир радиусу менен берет, анткени ачкычты адам боюнча жокко чыгаруу мүмкүн эмес, эгер ал адам боюнча берилбесе.
Ошол инсандыктын берилишин, жаңыртылышын жана жокко чыгарылышын профиль ревизиясы менен катар жазып жүрүңүз. Экөө бирге көзөмөлдөнсө, жаңыртуу окуя эмес, пландаштырылган тапшырма болот.
Көзөмөлсүз машиналарга үчүнчү жооп керек
Бирөө системага киргенге чейин туташууга тийиш машина сурамга жооп бере албайт. Бул системага кирген адам үчүн орнотууну жеңилдетүүдөн башка талап жана аны шлюз ээси менен макулдашылган башкарылуучу инсандык же ар бир түзмөк үчүн сертификат менен чечүү керек, профилде адам сырсөзүн сактоо менен эмес.
Сырсөздү сактоо экинчи факторду да жойбойт. Эгер шлюз MFA талап кылса, сакталган сырсөзү бар профиль жүктөөдө да ишке ашпайт, жана ийгиликсиздик жетишпеген фактор эмес, бузулган профиль сыяктуу көрүнөт.
Иш жүзүндө түзүлгөн артефактты текшериңиз
Үлгүлөр калтыруу менен калп айтышат. Башкаруу кызматы же экспорт куралы даяр файлга каттоо далилдерин киргизиши мүмкүн, ал эми коштогон инсандык жүктөмдөр же диагностикалык көчүрмөлөр үлгү эч көрсөтпөгөн материалды алып жүрүшү мүмкүн. Ким ала аларын чечмеден мурун түзүлгөн артефактты ачыңыз. Ишенимдүү чыгаруучунун жана күтүлгөн сервер инсандыгынын жөндөөлөрүн да бузбай сактаңыз; сырсөздү алып салуу шлюзга болгон ишенимди алсыратууга себеп эмес.
Эгер чыныгы сырсөз же жеке инсандык мурун эле өтө кеңири тарап кетсе, аны чыгаруучудан жокко чыгарып, алмаштырыңыз. Эртеңки үлгүнү түзөтүү мурун эле орнотулган көчүрмөлөргө эч нерсе кылбайт, жана ал көчүрмөлөр артындагы каттоо далили кайтарылып алынганга чейин аутентификацияны улантат.
Өткөрүп берүүнү сыноо инсандыгы менен кабыл алыңыз
Бекитилген агым менен өзүнчө сыноо инсандыгы катары катталган түзмөккө орнотуңуз, ниеттелген аутентификацияны бүтүрүңүз жана туннелдин көтөрүлүшүн гана көзөмөлдөөнүн ордуна жеке ресурска жетиңиз. Профилде каттоо далилинин материалы жок экенин ырастаңыз, андан кийин каттоо далили жаңыртыла турган инсандык жазуусунда бар экенин ырастаңыз. Ошол жуп — кабыл алуу сыноосу.
Жалпы жөндөөлөр үчүн бир ревизия, ар бир адамга бир жазуу жана чындап бир жолу колдонгон жокко чыгаруу жолу.