iPad дээрх VPN нууц үг асуухгүй: гэрчилгээ эсвэл хадгалсан нэвтрэлт
Хадгалсан нууц үг болон төхөөрөмжийн гэрчилгээ асуултыг өөр өөр аргаар арилгадаг. Тэдгээрийг харьцуулж, дараа нь туннелийг юу нээхийг тусад нь шийдээрэй.
«Надаас нууц үг асуухаа болиоч» гэдэг нь үнэндээ нэг гомдолд гурван шаардлагыг нэгтгэсэн хэрэг бөгөөд iPad дээрх байршуулалт тэдгээрт өөр өөр газарт хариулдаг. Асуулт нь баталгаажуулалтаас, цаг хугацаа нь идэвхжүүлэлтээс, харин хамрах хүрээ нь албадлагын хэрэгжилтээс гардаг. Эхлээд асуултыг арилгадаг нэвтрэх мэдээллийг сонго, дараа нь туннель хэзээ нээгдэхийг тодорхойлдог зүйлийг тусад нь шийд. Энэ хоёр шийдвэрийг хольж хутгах нь хадгалсан нууц үг хүртэл товшилт хүлээж буй профайл дээр үлдэх шалтгаан юм.
| Saved or shared secret | Device certificate | |
|---|---|---|
| What the user sees | no prompt while the credential stays valid | no prompt, no password to rotate |
| What the admin manages | the secret in the profile and its distribution | enrollment, expiry and revocation per device |
| Typical failure | gateway demands a second factor | expired or revoked certificate |
Нэг гомдолд хоёр асуудал
iPad дээрх төрөлх IKEv2 тохиргоо нууц үг эсвэл гэрчилгээнд хандаж болох бөгөөд AuthenticationMethod түлхүүр аль нь хэрэгжихийг шийддэг бол PayloadCertificateUUID нь таних мэдээллийг өгдөг нэвтрэх мэдээллийг нэрлэдэг. Гарц эдгээрийн алийг нь хүлээн авах нь серверийн бодлогын асуудал бөгөөд клиентийн хүсэл биш. Тиймээс хамгийн түрүүнд VPN үйлчилгээ юуг зөвшөөрдөгийг тогтоох хэрэгтэй, учир нь iPad нөгөө тал татгалзсан арга руу хэлэлцээр хийж чадахгүй.
Зөвхөн үүний дараа туннель хэзээ идэвхжих тухай ярих нь утга учиртай бөгөөд энэ нь огт өөр профайлын түлхүүрүүдийн багц юм.
Эхний сонголт: iPad дахин ашиглаж болох нэвтрэх мэдээлэл
Хадгалсан бүртгэлийн нууц үг эсвэл хуваалцсан нууц нь хэрэглэгч эсвэл бүлгийг баталгаажуулдаг гарцыг хангаж, нууц хүчинтэй байх хугацаанд асуултыг арилгадаг. Сул тал нь амьдралын мөчлөг: нууц нь профайлд байрладаг, хэд хэдэн төхөөрөмж хуваалцаж болох бөгөөд эргэлт хийх нь түүнийг агуулсан профайл бүрт гар хүрэхыг шаарддаг. Хэрэв үйлчилгээ мөн нэг удаагийн хүчин зүйл эсвэл интерактив зөвшөөрөл шаарддаг бол ямар ч локал тохиргоо энэ бодлогыг хяналтгүй нэвтрэлт болгож чадахгүй.
Нэг апп хадгалсан нууц үг нь өөр VPN хэрэгжилтэд автоматаар боломжтой болдоггүй тул нэг клиентэд асуухаа болиод нөгөөд нь байнга асууж болно.
Хоёр дахь сонголт: өөрийн түлхүүртэй төхөөрөмжийн гэрчилгээ
Гэрчилгээ нь асуултыг илүү бат бөх аргаар арилгадаг, учир нь iPad нууцыг давтахын оронд хувийн түлхүүр эзэмшиж байгаагаа нотолдог. Үүнд эцсийн гэрчилгээ болон түүний түлхүүр батлагдсан бүртгэлийн замаар ирэх шаардлагатай бөгөөд гарц тэр холболтын хувьд гэрчилгээгээр баталгаажуулалтыг хүлээн авах ёстой. Зөвхөн CA гэрчилгээ оруулах нь төхөөрөмжид итгэлцлийн материал өгдөг, өөр юу ч өгдөггүй бөгөөд энэ нь түгээмэл бөгөөд дуугүй алдаа юм.
Үүний үнэ нь амьдралын мөчлөгийн ажил. iPad бүр өөрийн таних мэдээллийг авдаг тул алдагдсан төхөөрөмжийг бүх паркийг дахин олголгүйгээр цуцалж болох бөгөөд хугацаа дуусах огноо нь бодит үйл ажиллагааны үйл явдал болдог. Чимээгүйгээр хугацаа дууссан гэрчилгээ нь тэр өглөө VPN эвдэрсэнтэй яг адил харагдана.
Сонголтоо хүслээр бус, гарц юуг хүлээн авдагийг харгалзан хий
VPN администратороос хоёр асуулт асуу: үйлчилгээ энэ төрлийн клиентэд ямар баталгаажуулалтын аргыг хүлээн авдаг, тэдгээрийн аль нэг нь интерактив оруулга шаарддаг уу. Хариулт нь зөвхөн гэрчилгээ бол бүртгэл болон шинэчлэлтийг төлөвлө. Хариулт нь нууц үг нэмэх хоёр дахь хүчин зүйл бол асуулт нь бодлого гэдгийг хүлээн авч, түүнийг төхөөрөмжийн гэмтэл гэж үзэхээ болиоч. Хоёулаа хүлээн авбал удирдлагатай паркийн хувьд амьдралын мөчлөгөөр гэрчилгээ, цөөн төхөөрөмжийн хувьд тохируулгын ажлаар нууц үг ялна.
Сонгосон аргыг профайлын танигчийн хажууд байршуулалтын бүртгэлд бич, эс бөгөөс профайлд дараагийн хүрэх хүн нөгөөг сонгоно.
Дараа нь идэвхжүүлэлтийг баталгаажуулалтаас тусгаарла
VPN On Demand нь тохируулсан нөхцөл таарвал туннелийг нээдэг — DNS домэйн, интерфэйсийн төрөл эсвэл нэгдсэн сүлжээ байсан ч, Apple үүнийг хэрэглэгчийн оролцоо шаарддаггүй гэж тайлбарладаг. Энэ нь ямар нэг зүйл шаардсан үед л хүртээмжтэй болох ёстой хувийн нөөцөд сайн тохирдог. Энэ нь хамрах хүрээг албадан барьдаг, өөрийн хяналт, профайлын шаардлагатай удирдлагатай Always On-той ижил биш.
Ажиллаж буй нэвтрэх мэдээлэл хоёр тохиолдолд ч юу ч хийхгүй. Олон iPad бүрэн хүчинтэй гэрчилгээтэй байсан ч ямар ч шаардлагын дүрэм ажиллаагүй тул гараар товшихыг хүлээсээр байдаг.
Шаардлагыг администратор ажиллаж чадах хэлбэрээр дамжуул: энэ iPad эдгээр нөөцөд хэрэглэгчийн давтагдах оруулгагүйгээр, энэ төрлийн нэвтрэх мэдээллээр, эдгээр идэвхжүүлэлт болон гэмтлийн дүрмийн дагуу хүрэх ёстой. Хэрэв одоогийн үйлчилгээ эдгээр нөхцлийг биелүүлж чадахгүй бол давтагдах асуулт нь төлөвлөсний дагуу ажиллаж буй бодлого юм.