iPhone वर स्वाक्षरी केलेली VPN प्रोफाइल स्थापित करत आहात? पेलोड वाचा

प्रोफाइल सेटिंग्जमध्ये नाव, स्वाक्षरीकर्ता आणि स्थापित करा बटणासह येतात, आणि स्वाक्षरीकर्त्याची ओळ हाच भाग बहुतेक लोक वाचतात। ती ओळ एका प्रश्नाचे उत्तर देते: स्वाक्षरी पडताळणीच्या नियमांनुसार या सेटिंग्ज कोणी पॅकेज केल्या। ती असे सांगत नाही की VPN पेलोड तुमच्या नियोक्त्याच्या गेटवेकडे निर्देश करतो, किंवा अंतर्भूत रूट प्रमाणपत्र तुमच्या TLS विश्वास संग्रहात आहे। खालील मार्गदर्शन उपकरण ज्या क्रमाने लागू करेल त्या क्रमाने पॅकेज उघडते।

लिफाफ्यापासून सुरुवात करा: ही प्रोफाइल कोणी स्वाक्षरी केली

iOS वर प्रोफाइल सेटिंग्ज, सामान्य, VPN आणि उपकरण व्यवस्थापन यामध्ये दिसते, आणि स्वाक्षरीकर्ता स्थापित करा बटणाच्या वर दाखवला जातो। काहीही स्पर्श करण्यापूर्वी ते नाव वाचा, आणि तुम्ही ज्यांच्याकडून सेटिंग्ज मिळण्याची अपेक्षा केली तीच संस्था आहे का ते विचारा। तुम्ही ओळखत नसलेल्या पक्षाची वैध स्वाक्षरीही वैध स्वाक्षरीच असते, आणि ती त्यांची संरचना अधिकृत करते, तुमची नाही। प्रोफाइलला स्वाक्षरी आहे की नाही हेही तोच स्क्रीन सांगतो।

फाइल तुमच्याकडे Mac वर असल्यास, ती फोनपर्यंत पोहोचण्यापूर्वी तपासा। सुरक्षा साधन CMS लिफाफा डीकोड करते आणि उपकरण वाचणारी plist छापते, जी स्थापित करा बटण नसलेली तीच सामग्री असते। स्वाक्षरीला उगम पडताळणी म्हणून वर्णन करणारे Apple चे संरचना अंमलबजावणी दस्तऐवज येथे वर्णन केलेली नेमकी तीच व्याप्ती सांगतात।

security cms -D -i corp-vpn.mobileconfig -o corp-vpn.plist
plutil -p corp-vpn.plist

स्वाक्षरीकर्ता तुम्ही अपेक्षित असलेला नसल्यास, किंवा फाइल स्वाक्षरी नसलेली असून ज्या माध्यमातून आली ते तिची हमी देऊ शकत नसल्यास येथे थांबा। या मार्गदर्शनातील पुढील काहीही अविश्वासू लिफाफ्याला विश्वासार्ह बनवत नाही।

प्रत्येक पेलोड उघडा आणि ते काय स्थापित करते ते नावाने सांगा

प्रोफाइल हे एक पात्र आहे, आणि मनोरंजक भाग म्हणजे त्यातील PayloadContent ॲरे। प्रत्येक नोंद उपकरण काय स्थापित करेल हे सांगणारी PayloadType वाहते: व्यवस्थापित VPN संरचना, PKCS#12 ओळख, रूट प्रमाणपत्र, किंवा व्यवस्थापन नोंदणी। कोणतीही सेटिंग वाचण्यापूर्वी प्रकार छापा।

plutil -extract PayloadContent xml1 -o - corp-vpn.plist |
  grep -E 'PayloadType|PayloadDisplayName'

VPN पेलोड एका कनेक्शनला नाव देते: सर्व्हर पत्ता, प्रमाणीकरण पद्धत, आणि कदाचित प्रत्येक ॲपसाठी किंवा मागणीनुसार नियम। ओळख पेलोड ते कनेक्शन सादर करणारे क्लायंट क्रेडेन्शियल पुरवते। रूट प्रमाणपत्र पेलोड विश्वासाचा आधार जोडते, आणि व्यवस्थापन पेलोड सतत नियंत्रण सर्व्हरकडे सोपवते। ही चार वेगवेगळी वचनबद्धता आहेत, आणि स्वाक्षरी प्रत्येकाची स्वतंत्रपणे हमी देण्याऐवजी पॅकेज व्यापते। त्या क्रमाने वाचा, कारण ओळखीशिवाय VPN निरुपयोगी आहे आणि ती कोणी जारी केली हे माहीत नसल्यास ओळखीचा अर्थ फारसा नाही।

फाइलवरील संकेतशब्द संरक्षण पुन्हा एक वेगळा गुणधर्म आहे। एन्क्रिप्टेड पॅकेज संकेतशब्द नसलेल्या व्यक्तीपासून सामग्री लपवते; आतले काही तुम्ही अधिकृत केले पाहिजे का हे ते ठरवत नाही। संकेतशब्दाला वितरण यंत्रणा म्हणून पाहा, पुनरावलोकन म्हणून नाही।

प्रमाणपत्रे त्यांचा वापर करणाऱ्या कनेक्शनपर्यंत शोधा

पॅकेजमधील प्रमाणपत्रे सूचीबद्ध करा आणि प्रत्येकाला एका कामाशी जोडा। क्लायंट प्रमाणपत्र हे उपकरण गेटवेला ओळखते, ते जारी करणारे CA त्या कनेक्शनच्या विश्वास साखळीतले असते, आणि प्रॉक्सी किंवा अंतर्गत सेवेसाठी स्थापित रूट आपोआप प्रत्येक HTTPS साइटचा आधार ठरत नाही। iOS वर हाताने स्थापित रूट सेटिंग्ज, उपकरणाबद्दल, प्रमाणपत्र विश्वास सेटिंग्ज यामध्ये सक्षम करेपर्यंत TLS साठी अविश्वासू राहते, तर व्यवस्थापनाद्वारे दिलेले रूट त्या पायरीशिवाय विश्वासार्ह असते। तोच फरक म्हणजे पेलोडचा उद्देश का महत्त्वाचा आहे हे।

openssl pkcs7 -inform DER -in corp-vpn.mobileconfig -print_certs -noout
security find-certificate -a -c "Corp Root" -p | openssl x509 -noout -subject -dates

तुमचा रहदारी वाहून नेणारा पुरवठादार म्हणूनच तुम्ही भेट देता त्या प्रत्येक वेबसाइटचा TLS टोक नसतो। अडवणुकीसाठी रहदारीचा मार्ग आणि ॲप्लिकेशन स्वीकारणारा विश्वासाचा आधार लागतो, आणि एक प्रमाणपत्र असलेली प्रोफाइल दोन्हीपैकी काहीही सिद्ध करत नाही। प्रोफाइल स्थापित केल्याने सर्व काही उलगडते असे गृहीत धरण्याऐवजी कोणते कनेक्शन प्रमाणपत्र वापरते आणि कोणती ॲप्लिकेशन्स ते स्वीकारतील हे विचारा।

स्थापनेनंतर: पडताळा, आणि काढून टाकल्याने काय होते ते जाणून घ्या

प्रोफाइल स्थापित झाल्यावर तुम्ही डाउनलोड केलेल्या फाइलवरून नाही, तर उपकरणावरून त्याची खात्री करा। सेटिंग्ज स्क्रीन स्थापित प्रोफाइल, त्याचा स्वाक्षरीकर्ता आणि त्याचे पेलोड दाखवते, आणि VPN स्क्रीन कनेक्शन अपेक्षेप्रमाणे संरचित आहे का ते दाखवते। डाउनलोड केलेली फाइल हटवल्याने काहीही हटत नाही; स्थापित संरचना ही वेगळी वस्तू आहे।

profiles show -type configuration
scutil --nc list

प्रोफाइलमध्ये व्यवस्थापन नोंदणी असेल तर स्थापित करण्यापूर्वी, नंतर नाही, काढून टाकण्याचे परिणाम वाचा। ती नोंदणी काढल्याने तिच्या संबंधित संरचना सोबत जातात आणि उपकरण कसे नोंदवले गेले यावर अवलंबून व्यवस्थापित ॲप्स काढली जाऊ शकतात। प्रमाणपत्र चुकीचे दिसत असताना करून पाहण्याची दुरुस्तीची पायरी ही नाही। काहीही काढण्यापूर्वी कोणता पेलोड समस्या सांभाळतो हे प्रशासकाला विचारा।

मार्गदर्शन चार वेगळ्या उत्तरांनी संपते: पॅकेज कोणी स्वाक्षरी केले, ते कोणते पेलोड स्थापित करते, प्रत्येक कनेक्शन कोणती ओळख आणि विश्वास वापरते, आणि काढून टाकल्याने काय सोबत जाईल। ती वेगळी ठेवा आणि स्वाक्षरी केलेली प्रोफाइल हिरव्या खुणेऐवजी पुनरावलोकन केलेला निर्णय बनते।