VPN op iPad ouni Passwuert-Ufroen: Zertifikater oder gespäichert Anmeldung
E gespäichert Passwuert an en Apparat-Zertifikat huelen d'Ufro op verschidde Manéieren ewech. Vergläicht se a entscheet duerno getrennt, wat den Tunnel opmécht.
«Stoppt d'Fro no engem Passwuert» bündelt eigentlech dräi Ufuerderungen an enger Plainte, an engem iPad-Bereitstellung äntwert se op verschiddenen Plazen. D'Ufro kënnt aus der Authentifikatioun, den Zäitpunkt aus der Aktivéierung an d'Ofdeckung aus der Ëmsetzung. Wielt fir d'éischt de Benotzerdaten deen d'Ufro ewech hëlt, a entscheet duerno getrennt wat bestëmmt, wéini den Tunnel opgeet. Dës zwee Entscheedungen ze vermëschen ass just de Grond firwat e gespäichert Passwuert op engem Profil bleift, deen nach ëmmer op en Tipp waart.
| Saved or shared secret | Device certificate | |
|---|---|---|
| What the user sees | no prompt while the credential stays valid | no prompt, no password to rotate |
| What the admin manages | the secret in the profile and its distribution | enrollment, expiry and revocation per device |
| Typical failure | gateway demands a second factor | expired or revoked certificate |
Zwee Problemer an enger Plainte
Eng natif IKEv2-Konfiguratioun op iPad ka sech op e Passwuert oder en Zertifikat bezéien, an de Schlëssel AuthenticationMethod entscheet wat gëllt, während PayloadCertificateUUID de Benotzerdaten nennt deen d'Identitéit gëtt. Wat den Gateway wäert acceptéieren ass eng Fro vun der Serverpolitik, net eng Virléift vum Client. Dowéinst muss een als Éischt feststellen wat den VPN-Service erlaabt, well en iPad sech net bis op eng Method kann ausverhandelen déi déi aner Säit ofleet.
Eréischt duerno mécht et Sënn iwwer de Moment ze schwätzen wéini den Tunnel aktivéiert gëtt, wat eng komplett aner Rei vu Profilschlëssele ass.
Éischt Optioun: e Benotzerdaten deen den iPad kann erëmnotzen
E gespäichert Kont-Passwuert oder e gedeelt Geheimnis befriddegt en Gateway deen den Notzer oder d'Grupp authentifizéiert, an et hëlt d'Ufro ewech sou laang wéi d'Geheimnis gëlteg bleift. Seng Schwächt ass de Liewenszyklus: d'Geheimnis sëtzt am Profil, méi Apparater kënnen et deelen, an et ze rotéieren heescht all Profil unzepaken deen et dréit. Wann de Service zousätzlech en Eenmol-Faktor oder eng interaktiv Genehmegung verlaangt, mécht keng lokal Astellung aus där Politik eng onbewacht Umeldung.
E Passwuert dat eng App späichert ass och net automatesch fir eng aner VPN-Implementatioun disponibel, an dowéinst kann de selwechte Kont an engem Client ophale frot an an engem aneren all Kéier frot.
Zweet Optioun: en Apparat-Zertifikat mat sengem eegene Schlëssel
En Zertifikat hëlt d'Ufro op eng méi staark Manéier ewech, well den iPad de Besëtz vun engem private Schlëssel beweist statt e Geheimnis erëmzespillen. Dat erfuerdert datt d'Blat-Zertifikat a säi Schlëssel iwwer de geneemegte Registrierungswee ukommen, an datt den Gateway d'Zertifikatsauthentifikatioun fir déi Verbindung acceptéiert. Just en CA-Zertifikat ze importéieren gëtt dem Apparat Vertrauensmaterial an näischt anescht, wat e heefege a rouege Fehler ass.
De Präis ass Aarbecht um Liewenszyklus. All iPad kritt seng eegen Identitéit, sou datt en verluerent Apparat ka revoquéiert ginn ouni d'ganz Flott nei auszeginn, an d'Ofleefdatume ginn richteg operationell Evenementer. En Zertifikat dat roueg ofleeft gesäit genee wéi eng VPN-Stéierung de Moien wou et geschitt.
Wielt no deem wat den Gateway acceptéiert, net no der Virléift
Frot den VPN-Administrateur zwee Saachen: wéi eng Authentifikatiounsmethoden de Service fir dës Zort Client acceptéiert, an ob eng dovun interaktiv Agab verlaangt. Wann d'Äntwert just Zertifikat ass, plane S'Registrierung an Erneierung. Wann d'Äntwert Passwuert plus en zweeten Faktor ass, akzeptéiert datt d'Ufro Politik ass a behandelt se net méi als Apparatfehler. Wann déi zwee acceptéiert ginn, gewënnt den Zertifikat um Liewenszyklus fir eng iwwerwaacht Flott an d'Passwuert um Opbau-Aufwand fir e puer Apparater.
Schreift déi gewielte Method an den Bereitstellungs-Recond niewent dem Profil-Identifiant, well soss wielt déi nächst Persoun déi de Profil beréiert déi aner.
Dann trennt d'Aktivéierung vun der Authentifikatioun
VPN On Demand mécht den Tunnel op wann eng konfiguréiert Bedingung entsprécht, egal ob et en DNS-Domain, en Interface-Typ oder en verbonnen Netzwierk ass, an Apple dokumentéiert et als eppes wat keng Benotzerinteraktioun erfuerdert. Dat passt gutt bei privat Ressourcen déi nëmme solle erreechbar ginn wann eppes se freet. Et ass net datselwecht wéi verwalteten Always On, deen d'Ofdeckung ëmgesat hält an seng eegen Iwwerwaachungs- a Profil-Ufuerderungen matbréngt.
E funktionéierende Benotzerdaten mécht fir déi zwee näischt. Vill iPads hunn en ganz gudden Zertifikat a waarden trotzdem op en manuellen Tipp well ni eng On-Demand-Regel ausgeléist gouf.
Gitt d'Ufuerderung an enger Form weider op déi en Administrateur ka reagéieren: dësen iPad soll dës Ressourcen erreechen ouni widderhuelend Benotzeragab, mat dëser Zort Benotzerdaten a bannent dëse Regelen fir Aktivéierung a Stéierung. Wann den aktuelle Service déi Konditiounen net erfëlle kann, sinn widderhuelend Ufroe d'Politik déi funktionéiert wéi se entworf gouf.