VPN iPad ierīcē bez paroles pieprasījumiem: sertifikāti vai saglabāta pieteikšanās
Saglabāta parole un ierīces sertifikāts pieprasījumu novērš dažādos veidos. Salīdziniet tos un pēc tam atsevišķi izlemiet, kas atver tuneli.
«Pārtrauciet man jautāt paroli» patiesībā apvieno trīs prasības vienā sūdzībā, un izvietošana iPad ierīcē uz tām atbild dažādās vietās. Pieprasījums nāk no autentifikācijas, laiks no aktivizēšanas, bet pārklājums no piespiedu izpildes. Vispirms izvēlieties akreditācijas datus, kas pieprasījumu novērš, pēc tam atsevišķi izlemiet, kas nosaka, kad tunelis atveras. Šo divu lēmumu sajaukšana ir tieši iemesls, kāpēc saglabātā parole paliek profilā, kas joprojām gaida pieskārienu.
| Saved or shared secret | Device certificate | |
|---|---|---|
| What the user sees | no prompt while the credential stays valid | no prompt, no password to rotate |
| What the admin manages | the secret in the profile and its distribution | enrollment, expiry and revocation per device |
| Typical failure | gateway demands a second factor | expired or revoked certificate |
Divas problēmas vienā sūdzībā
Vietējā IKEv2 konfigurācija iPad ierīcē var atsaukties uz paroli vai sertifikātu, un atslēga AuthenticationMethod nosaka, kura ir spēkā, kamēr PayloadCertificateUUID nosauc akreditācijas datus, kas nodrošina identitāti. To, kuru no tiem pieņems vārteja, ir servera politikas jautājums, nevis klienta vēlme. Tāpēc vispirms jānoskaidro, ko VPN pakalpojums atļauj, jo iPad nevar vienoties par metodi, kuru otra puse noraida.
Tikai pēc tam ir jēga runāt par to, kad tunelis aktivizējas, un tas ir pavisam cits profila atslēgu kopums.
Pirmā iespēja: akreditācijas dati, ko iPad var izmantot atkārtoti
Saglabāta konta parole vai kopīgs noslēpums apmierina vārteju, kas autentificē lietotāju vai grupu, un novērš pieprasījumu, kamēr noslēpums ir derīgs. Tā vājā vieta ir dzīves cikls: noslēpums atrodas profilā, vairākas ierīces to var kopīgot, un tā maiņa nozīmē pieskarties katram profilam, kas to nes. Ja pakalpojums papildus pieprasa vienreizēju faktoru vai interaktīvu apstiprinājumu, neviena vietējā iestatīšana šo politiku nepārvērš uzraudzībā neesošā pieteikšanā.
Vienas lietotnes saglabātā parole arī nav automātiski pieejama citai VPN implementācijai, tāpēc viens un tas pats konts vienā klientā var pārstāt jautāt, bet citā jautāt katru reizi.
Otrā iespēja: ierīces sertifikāts ar savu atslēgu
Sertifikāts pieprasījumu novērš stingrāk, jo iPad pierāda privātās atslēgas turēšanu, nevis atkārto noslēpumu. Tas prasa, lai lapas sertifikāts un tā atslēga ierastos pa apstiprināto reģistrācijas ceļu, un lai vārteja pieņemtu sertifikāta autentifikāciju šim savienojumam. Importējot tikai CA sertifikātu, ierīce iegūst uzticības materiālu un neko citu, un tā ir izplatīta un klusa kļūda.
Cena ir dzīves cikla darbs. Katrs iPad iegūst savu identitāti, lai pazaudētu ierīci varētu atsaukt, neizdodot visu parku no jauna, un derīguma termiņi kļūst par reāliem ekspluatācijas notikumiem. Sertifikāts, kas klusi beidzas, izskatās tieši kā VPN pārtraukums tajā rītā, kad tas notiek.
Izvēlieties pēc tā, ko pieņem vārteja, nevis pēc vēlmes
Pajautājiet VPN administratoram divas lietas: kādas autentifikācijas metodes pakalpojums pieņem šim klienta tipam, un vai kāda no tām prasa interaktīvu ievadi. Ja atbilde ir tikai sertifikāts, plānojiet reģistrāciju un atjaunošanu. Ja atbilde ir parole plus otrs faktors, pieņemiet, ka pieprasījums ir politika, un pārtrauciet to uzskatīt par ierīces defektu. Ja tiek pieņemtas abas, sertifikāts uzvar dzīves ciklā uzraudzītam parkam, bet parole – iestatīšanas piepūlē dažām ierīcēm.
Ierakstiet izvēlēto metodi izvietošanas ierakstā blakus profila identifikatoram, citādi nākamā persona, kas pieskaras profilam, izvēlēsies otru.
Pēc tam atdaliet aktivizēšanu no autentifikācijas
VPN On Demand atver tuneli, kad sakrīt konfigurētais nosacījums, vai tas būtu DNS domēns, saskarnes tips vai pievienotais tīkls, un Apple to dokumentē kā tādu, kam nav vajadzīga lietotāja mijiedarbība. Tas labi atbilst privātiem resursiem, kuriem jākļūst pieejamiem tikai tad, kad kaut kas tos pieprasa. Tas nav tas pats, kas pārvaldīts Always On, kas uztur pārklājumu piespiedu kārtā un nāk ar savām uzraudzības un profila prasībām.
Darbojoši akreditācijas dati nepalīdz nevienā no abiem gadījumiem. Daudziem iPad ir pilnīgi laba sertifikāts, un tie tomēr gaida manuālu pieskārienu, jo nekad nav iedarbojies neviens pieprasījuma noteikums.
Nododiet prasību tādā formā, kurā administrators var rīkoties: šim iPad ir jāsasniedz šie resursi bez atkārtotas lietotāja ievades, ar šo akreditācijas datu tipu un saskaņā ar šiem aktivizēšanas un pārtraukuma noteikumiem. Ja pašreizējais pakalpojums nevar izpildīt šos nosacījumus, atkārtotie pieprasījumi ir politika, kas darbojas tā, kā paredzēts.