VPN на iPad без барања за лозинка: сертификати или зачувана најава
Зачувана лозинка и сертификат на уредот го отстрануваат барањето на различни начини. Споредете ги и потоа одделно одлучете што го отвора тунелот.
„Престанете да ме прашувате за лозинка“ всушност спојува три барања во една жалба, а воведувањето на iPad одговара на нив на различни места. Барањето доаѓа од проверката на идентитет, моментот од активацијата, а покриеноста од спроведувањето. Прво изберете го податокот за најава што го отстранува барањето, а потоа одделно одлучете што одредува кога се отвора тунелот. Мешањето на тие две одлуки е токму причината зошто зачувана лозинка завршува во профил што се уште чека допир.
| Saved or shared secret | Device certificate | |
|---|---|---|
| What the user sees | no prompt while the credential stays valid | no prompt, no password to rotate |
| What the admin manages | the secret in the profile and its distribution | enrollment, expiry and revocation per device |
| Typical failure | gateway demands a second factor | expired or revoked certificate |
Два проблема во една жалба
Изворната IKEv2 конфигурација на iPad може да упатува на лозинка или на сертификат, а клучот AuthenticationMethod одлучува кое од тоа важи, додека PayloadCertificateUUID го именува податокот за најава што го дава идентитетот. Кое од тоа ќе го прифати порталот е прашање на серверска политика, а не на наклоност на клиентот. Затоа најпрво треба да се утврди што дозволува VPN услугата, бидејќи iPad не може да се избори за метод што другата страна го одбива.
Дури потоа има смисла да се зборува за тоа кога се активира тунелот, а тоа е сосема друг сет клучеви на профилот.
Прва опција: податок за најава што iPad може повторно да го употреби
Зачувана лозинка на сметка или заедничка тајна го задоволува порталот што го проверува корисникот или групата и го отстранува барањето додека тајната останува важечка. Слабост е животниот циклус: тајната стои во профилот, неколку уреди можат да ја делат, а ротацијата значи допирање на секој профил што ја носи. Ако услугата бара и еднократен фактор или интерактивно одобрување, ниедна локална поставка таа политика не ја претвора во најава без надзор.
Лозинката што ја зачувува една апликација исто така не е автоматски достапна за друга VPN имплементација, поради што истата сметка може да престане да прашува во еден клиент, а во друг да прашува секој пат.
Втора опција: сертификат на уредот со сопствен клуч
Сертификатот го отстранува барањето на посилен начин, бидејќи iPad докажува поседување приватен клуч наместо да ја повтори тајната. Тоа бара лисниот сертификат и неговиот клуч да пристигнат по одобрениот пат на запишување и порталот да прифати проверка на идентитет со сертификат за таа врска. Увозот само на CA сертификат му дава на уредот материјал за доверба и ништо друго, што е честа и тивка грешка.
Цената е работа на животниот циклус. Секој iPad добива сопствен идентитет за да може изгубен уред да се отповика без повторно издавање на целата флота, а датумите на истекување стануваат вистински оперативни настани. Сертификат што тивко истекува изгледа токму како испад на VPN утрото кога тоа се случува.
Изберете според тоа што го прифаќа порталот, а не според наклоноста
Поставете му на VPN администраторот две прашања: кои методи на проверка на идентитет услугата ги прифаќа за овој тип клиент и дали некој од нив бара интерактивен внес. Ако одговорот е само сертификат, планирајте запишување и обнова. Ако одговорот е лозинка плус втор фактор, прифатете дека барањето е политика и престанете да го третирате како дефект на уредот. Ако се прифатени и двете, сертификатот победува во животниот циклус за надгледувана флота, а лозинката во трудот околу поставување за неколку уреди.
Запишете го избраниот метод во записот за воведување покрај идентификаторот на профилот, бидејќи инаку следната личност што ќе го допре профилот ќе го избере другиот.
Потоа одвојте активација од проверка на идентитет
VPN On Demand го отвора тунелот кога ќе се совпадне поставен услов, било тоа да е DNS домен, тип на интерфејс или придружена мрежа, а Apple го документира како нешто што не бара корисничка интеракција. Тоа добро одговара на приватни ресурси што треба да станат достапни само кога нешто ќе ги побара. Не е исто како управуван Always On, што ја држи покриеноста спроведена и носи сопствени барања за надзор и профил.
Исправен податок за најава не помага во ниту еден од двата случаја. Многу iPad уреди имаат сосема добар сертификат и сепак чекаат рачен допир затоа што никогаш не се активирало ниедно правило на барање.
Предадете го барањето во облик на кој администраторот може да дејствува: овој iPad треба да ги достигне тие ресурси без повторлив кориснички внес, со овој тип податок за најава и според тие правила за активација и испад. Ако сегашната услуга не може да ги исполни тие услови, повторливите барања се политиката што работи како што е замислена.