VPN iPad įrenginyje be slaptažodžio užklausų: sertifikatai arba išsaugotas prisijungimas
Išsaugotas slaptažodis ir įrenginio sertifikatas užklausą pašalina skirtingais būdais. Palyginkite juos ir tada atskirai nuspręskite, kas atidaro tunelį.
„Nustokite manęs klausti slaptažodžio“ iš tikrųjų sujungia tris reikalavimus į vieną skundą, o diegimas iPad įrenginyje į juos atsako skirtingose vietose. Užklausa kyla iš autentifikavimo, laikas iš aktyvavimo, o aprėptis iš priverstinio vykdymo. Pirmiausia pasirinkite prisijungimo duomenis, kurie pašalina užklausą, tada atskirai nuspręskite, kas nustato, kada tunelis atsidaro. Šių dviejų sprendimų maišymas yra būtent priežastis, dėl kurios išsaugotas slaptažodis lieka profilyje, kuris vis dar laukia prisilietimo.
| Saved or shared secret | Device certificate | |
|---|---|---|
| What the user sees | no prompt while the credential stays valid | no prompt, no password to rotate |
| What the admin manages | the secret in the profile and its distribution | enrollment, expiry and revocation per device |
| Typical failure | gateway demands a second factor | expired or revoked certificate |
Dvi problemos viename skunde
Vietinė IKEv2 konfigūracija iPad įrenginyje gali nurodyti slaptažodį arba sertifikatą, o raktas AuthenticationMethod nusprendžia, kuris galioja, tuo tarpu PayloadCertificateUUID įvardija prisijungimo duomenis, suteikiančius tapatybę. Kurį iš jų priims vartai, yra serverio politikos klausimas, o ne kliento pageidavimas. Todėl pirmiausia reikia nustatyti, ką leidžia VPN paslauga, nes iPad negali derėtis dėl metodo, kurio kita pusė atsisako.
Tik po to prasminga kalbėti apie tai, kada tunelis aktyvuojamas, o tai yra visiškai kitas profilio raktų rinkinys.
Pirmas variantas: prisijungimo duomenys, kuriuos iPad gali naudoti pakartotinai
Išsaugotas paskyros slaptažodis arba bendra paslaptis patenkina vartus, kurie autentifikuoja naudotoją arba grupę, ir pašalina užklausą, kol paslaptis galioja. Jo silpnybė yra gyvavimo ciklas: paslaptis yra profilyje, keli įrenginiai gali ją bendrai naudoti, o jos keitimas reiškia kiekvieno ją nešančio profilio palietimą. Jei paslauga papildomai reikalauja vienkartinio veiksnio arba interaktyvaus patvirtinimo, jokia vietinė nuostata tos politikos nepaverčia prižiūrimu prisijungimu.
Vienos programos išsaugotas slaptažodis taip pat nėra automatiškai prieinamas kitai VPN realizacijai, todėl ta pati paskyra viename kliente gali nustoti klausti, o kitame klausti kiekvieną kartą.
Antras variantas: įrenginio sertifikatas su savo raktu
Sertifikatas užklausą pašalina stipriau, nes iPad įrodo privačiojo rakto turėjimą, o ne kartoja paslaptį. Tam reikia, kad lapo sertifikatas ir jo raktas atkeliautų patvirtintu registracijos keliu, ir kad vartai priimtų sertifikato autentifikavimą tai jungčiai. Importavus tik CA sertifikatą įrenginys gauna pasitikėjimo medžiagą ir nieko daugiau, o tai yra dažna ir tyli klaida.
Kaina yra gyvavimo ciklo darbas. Kiekvienas iPad gauna savo tapatybę, kad pamestą įrenginį būtų galima atšaukti neišduodant viso parko iš naujo, o galiojimo datos tampa tikrais operaciniais įvykiais. Tyliai pasibaigiantis sertifikatas atrodo lygiai kaip VPN sutrikimas tą rytą, kai tai nutinka.
Rinkitės pagal tai, ką priima vartai, o ne pagal pageidavimą
Paklauskite VPN administratoriaus dviejų dalykų: kokius autentifikavimo metodus paslauga priima šiam kliento tipui ir ar kuris nors jų reikalauja interaktyvaus įvedimo. Jei atsakymas yra tik sertifikatas, planuokite registraciją ir atnaujinimą. Jei atsakymas yra slaptažodis ir antrasis veiksnys, priimkite, kad užklausa yra politika, ir nustokite ją laikyti įrenginio gedimu. Jei priimami abu, sertifikatas laimi gyvavimo cikle prižiūrimam parkui, o slaptažodis – sąrankos pastangose keliems įrenginiams.
Įrašykite pasirinktą metodą į diegimo įrašą šalia profilio identifikatoriaus, priešingu atveju kitas profilį paliesiantis asmuo pasirinks kitą.
Tada atskirkite aktyvavimą nuo autentifikavimo
VPN On Demand atidaro tunelį, kai sutampa sukonfigūruota sąlyga, ar tai būtų DNS domenas, sąsajos tipas ar prisijungtas tinklas, ir Apple dokumentuoja tai kaip nereikalaujantį naudotojo sąveikos. Tai tinka privatiems ištekliams, kurie turėtų būti pasiekiami tik tada, kai kažkas jų prašo. Tai nėra tas pats kaip valdomas Always On, kuris palaiko priverstinę aprėptį ir atsineša savo priežiūros bei profilio reikalavimus.
Veikiantys prisijungimo duomenys nieko nepadaro nė vienu atveju. Daugelis iPad turi visiškai tinkamą sertifikatą ir vis tiek laukia rankinio prisilietimo, nes niekada nebuvo suveikusi jokia pagal poreikį taisyklė.
Perduokite reikalavimą tokia forma, kuria administratorius gali veikti: šis iPad turi pasiekti šiuos išteklius be pasikartojančio naudotojo įvedimo, su šiuo prisijungimo duomenų tipu ir pagal šias aktyvavimo bei sutrikimo taisykles. Jei dabartinė paslauga negali įvykdyti tų sąlygų, pasikartojančios užklausos yra politika, veikianti taip, kaip suplanuota.