Испративте еден VPN профил на сите и во него е вашата лозинка

Профилот се инсталира чисто, сите се поврзуваат, а потоа лозинката на сметката се менува. Секој уред што ја добил датотеката престанува да се автентицира во истата минута, бидејќи сите ја носат истата тајна. Тоа е знакот: едни податоци за пристап копирани во заеднички артефакт претвораат рутинска промена на лозинка во прекин на целата флота. Држењето на конфигурацијата што може повторно да се употреби и на индивидуалниот идентитет како две одделни предавања го избегнува тоа, а сопствената на Apple документација за управување со уреди ги третира профилите како поставки и авторизација, а не како складиште за тајни.

Симптомот се појавува при првата ротација

Датотеката mobileconfig е XML или потпишан plist. Секој што има копија може да ја декодира содржината и да прочита што има во неа, така што вредноста AuthPassword во шаблон е податок за пристап во чист текст со необична наставка на датотеката. Потпишувањето ја менува интегралноста и потеклото, не читливоста. Во меѓувреме, деловите што навистина сакате да ги делите, како адресата на портата, очекуваниот идентитет на серверот и политиката за сообраќај, се идентични за сите.

Подредете ги полињата пред да уредите нешто, бидејќи границата не е таму каде што луѓето претпоставуваат.

Одделете ги заедничките поставки од индивидуалните податоци за пристап

Интерактивниот пат е да ја оставите лозинката надвор и да дозволите поддржаниот распоред за автентикација да ја побара. Прочитајте го ова внимателно: бришењето поле што само изгледа слично не е универзална преобразба во интерактивно најавување. Носивоста IKEv2 разликува AuthName од AuthPassword, а методот на автентикација одлучува дали барањето воопшто е достапно; метод базиран на сертификат воопшто нема да побара лозинка.

Ни сертификатите не бараат заеднички клуч

Ако портата очекува автентикација со сертификат, регистрирајте го предвидениот идентитет на корисник или уред преку одобрениот механизам и држете го приватниот клуч надвор од шаблонот. Еден заеднички приватен клуч во секоја копија ви го дава истиот проблем со ротација со полош радиус на влијание, бидејќи клучот не може да се отповика по лице ако не бил издаден по лице.

Запишете го издавањето, обновувањето и отповикувањето на тој идентитет покрај ревизијата на профилот. Кога двете се следат заедно, обновувањето е планирана задача, а не инцидент.

Машините без надзор бараат трет одговор

Машина што мора да се поврзе пред некој да се најави не може да одговори на барање. Тоа е различен услов од олеснувањето на поставувањето за најавено лице, и треба да се реши со управуван идентитет или сертификат по уред договорен со сопственикот на портата, а не со чување човечка лозинка во профил.

Чувањето лозинка исто така не го отстранува вториот фактор. Ако портата бара MFA, профил со зачувана лозинка уште не успева при подигање, и грешката изгледа како расипан профил, а не како фактор што недостасува.

Проверете го артефактот што навистина бил создаден

Шаблоните лажат со испуштање. Услуга за управување или алатка за извоз може да внесе податоци за пристап во готовата датотека, а придружните идентитетски носивости или дијагностички копии можат да носат материјал што шаблонот никогаш не го покажал. Отворете го создадениот артефакт пред да одлучите кој смее да го добие. Зачувајте ги и поставките за доверлив издавач и очекуван идентитет на серверот; отстранувањето лозинка не е причина да ја ослабите довербата во портата.

Ако вистинска лозинка или приватен идентитет веќе патувал премногу широко, отповикајте го кај издавачот и заменете го. Уредувањето на утрешниот шаблон не прави ништо за веќе инсталираните копии, и тие копии ќе продолжат да се автентицираат додека податокот за пристап зад нив не биде повлечен.

Прифатете го предавањето со тест идентитет

Инсталирајте преку одобрениот тек на уред регистриран како одделен тест идентитет, завршете ја предвидената автентикација и стигнете до приватниот ресурс наместо само да гледате како се подига тунелот. Потврдете дека профилот не содржи материјал од податоци за пристап, потоа потврдете дека податокот за пристап постои во записот за идентитет што ќе се обнови. Тој пар е тестот за прифаќање.

Една ревизија за заедничките поставки, еден запис по лице и пат за отповикување што навистина сте го употребиле еднаш.