Ar iPhone gali dar kartą naudoti „Mac“ OpenVPN profilį?

Viena veikianti „Mac“ jungtis nėra telefono šablonas, net kai abu naudoja tą pačią paskyrą ir tą patį serverį. „Mac“ profilis gali laikyti sertifikatus atskiruose failuose, naudoti direktyvas, kurios turi prasmę tik darbalaukyje, ir remtis tapatybe, kurią operatorius išdavė tik tam įrenginiui. Telefonui reikia savo paketo, savo tapatybės ir savo importavimo kelio. Politikos klausimo atskyrimas nuo pakavimo klausimo yra didžioji darbo dalis.

Prieš ką nors kopijuodami paklauskite operatoriaus dviejų dalykų: ar paskyrą galima naudoti daugiau nei viename įrenginyje ir ar telefonas turėtų gauti savo sertifikatą.

Pakartotinis naudojimas pirmiausia yra politikos klausimas, o tik paskui techninis

Kliento sertifikatas yra tapatybė, o vienos tapatybės įdėjimas į du įrenginius reiškia, kad serveris negali jų atskirti žurnaluose, prieigos taisyklėse ar atšaukiant. Kai kurie diegimai tai priima ir aiškiai leidžia pasikartojančius bendruosius vardus; dauguma ne, ir antrasis įrenginys arba atmetamas, arba atjungia pirmąjį. Bendra vartotojo vardo ir slaptažodžio pora nepadaro bendro sertifikato tinkamu. Prieš planuodami bet kokį perkėlimą, gaukite operatoriaus atsakymą raštu.

Audito pusė taip pat svarbi. Jei telefonas pametamas, atšaukus sertifikatą, kurį naudoja ir „Mac“, atjungiami abu įrenginiai, o palikus jį galiojantį lieka telefonas su veikiančia VPN prieiga. Sertifikatas kiekvienam įrenginiui paverčia reakciją į praradimą vienu atšaukimu, ir būtent todėl yra papildomas registracijos žingsnis.

„Mac“ profilis ir telefono profilis praktiškai skiriasi

Darbalaukyje .ovpn failas gali būti šalia CA, sertifikato ir rakto atskiruose failuose, ir jame gali būti kabliukų, scenarijų ir kelių, kurie turi prasmę tik toje operacinėje sistemoje. Mobilusis klientas paprastai nori tų dalių įtaisytų arba pateiktų per PKCS#12 paketą su slaptažodžiu, o direktyvų, kurių negali įvykdyti, nepaiso arba jų atsisako. „Mac“ failo kopijavimas dažnai duoda importavimą, kuris nepavyksta, arba tokį, kuris prisijungia be pusės parinkčių. Sprendimas yra operatoriaus prižiūrimas mobilusis paketas, o ne rankomis redaguotas failas, kuriame ištrintos nepatogios eilutės.

Bet kurį failą su privačiu raktu traktuokite kaip prisijungimo duomenis, o ne kaip konfigūraciją. Profilių atsisiuntimai eina apsaugotais kanalais būtent todėl, o pokalbyje ar atsisiuntimų aplanke likusi kopija yra gyva paslaptis su draugišku failo vardu.

Importuokite per paties telefono eigą

Įdiekite oficialią „OpenVPN Connect“ programėlę, tada įkelkite profilį per jos importavimo eigą – kaip failą arba kaip operatoriaus pateiktą prisijungimo URL. Neprižiūrimame telefone programėlė prašo leidimo pridėti VPN konfigūraciją, ir tai yra paties sistemos patvirtinimo žingsnis. Vykdykite paskyros ir MFA raginimus taip, kaip jie pasirodo, o ne iš anksto užpildykite reikšmes, pasiskolintas iš „Mac“. Jei importavimas pavyksta, o ryšys ne, problema yra profilio turinyje, o ne perkėlime.

Prižiūrimame telefone administratorius gali apriboti profilio importavimą ar redagavimą per mobiliųjų įrenginių valdymo kanalą. Apribota programėlė nėra mįslė, kurią reikia įveikti; naudokite administratoriaus registracijos kelią, nes tas kelias taip pat nulemia, kas nutinka pakeitus telefoną.

Įrodykite telefoną savarankiškai

Atidarykite privatų išteklių iš telefono per mobiliojo ryšio duomenis, kai „Wi-Fi“ išjungtas, kad užklausa negalėtų tyliai pasukti kitu keliu. Tai, kad „Mac“ lieka prisijungęs, nieko neįrodo apie telefono maršrutus, DNS ar prisijungimo duomenų priėmimą. Tada palyginkite abu įrenginius: vidinis pagrindinio kompiuterio vardas, kuris išsprendžiamas „Mac“ ir nepavyksta telefone, rodo tarp paketų besiskiriančias DNS nuostatas. Užrašykite profilio pavadinimą, įrenginio tapatybę ir kas jį užregistravo.

Kai kas nors nepavyksta, išsaugokite tikslią pranešimą ir programėlės versiją. Importavimo klaida ir ryšio klaida ateina iš skirtingų sluoksnių, o jų suliejimas į vieną ataskaitą sugaišta visą ratą. Švariai importuotas profilis įrodo tik tai, kad failas buvo išanalizuotas.

Po registracijos ištrinkite perkėlimo kopijas pagal savo saugojimo politiką ir dokumentuokite pakartotinės registracijos kelią. Pakaitinis telefonas turėtų gauti naują tapatybę, o ne senosios kopiją.