iPad वर पासवर्ड न विचारता VPN: प्रमाणपत्रे किंवा साठवलेला लॉगिन
साठवलेला पासवर्ड आणि डिव्हाइस प्रमाणपत्र विनंती वेगवेगळ्या पद्धतीने काढून टाकतात। दोन्ही तुलना करा, मग टनेल काय उघडते हे स्वतंत्रपणे ठरवा।
«मला पासवर्ड विचारणे थांबवा» प्रत्यक्षात तीन गरजा एका तक्रारीत एकत्र करते, आणि iPad वर तैनाती त्यांची उत्तरे वेगवेगळ्या ठिकाणी देते। विनंती प्रमाणीकरणातून येते, वेळ सक्रियतेतून, आणि व्याप्ती अंमलबजावणीतून। प्रथम विनंती काढून टाकणारे क्रेडेन्शियल निवडा, मग टनेल कधी उघडते हे स्वतंत्रपणे ठरवा। या दोन निर्णयांचे मिश्रण हेच कारण आहे की साठवलेला पासवर्ड अशा प्रोफाइलवर राहतो जे अजूनही एका स्पर्शाची वाट पाहते।
| Saved or shared secret | Device certificate | |
|---|---|---|
| What the user sees | no prompt while the credential stays valid | no prompt, no password to rotate |
| What the admin manages | the secret in the profile and its distribution | enrollment, expiry and revocation per device |
| Typical failure | gateway demands a second factor | expired or revoked certificate |
एका तक्रारीत दोन समस्या
iPad वरील मूळ IKEv2 कॉन्फिगरेशन पासवर्ड किंवा प्रमाणपत्राचा संदर्भ देऊ शकते, आणि की AuthenticationMethod कोणते लागू होते हे ठरवते, तर PayloadCertificateUUID ओळख देणाऱ्या क्रेडेन्शियलचे नाव सांगते। गेटवे यापैकी काय स्वीकारेल हा सर्व्हर धोरणाचा प्रश्न आहे, क्लायंटची पसंती नाही। म्हणून प्रथम VPN सेवा काय परवानगी देते हे स्पष्ट करावे लागते, कारण iPad दुसऱ्या टोकाने नाकारलेल्या पद्धतीपर्यंत वाटाघाटी करू शकत नाही।
त्यानंतरच टनेल कधी सक्रिय होते याबद्दल बोलणे अर्थपूर्ण ठरते, जे प्रोफाइल कींचा पूर्णपणे वेगळा संच आहे।
पहिला पर्याय: iPad पुन्हा वापरू शकणारे क्रेडेन्शियल
साठवलेला खाते पासवर्ड किंवा सामायिक रहस्य अशा गेटवेला समाधान देते जे वापरकर्ता किंवा गटाचे प्रमाणीकरण करते, आणि रहस्य वैध असेपर्यंत विनंती काढून टाकते। त्याची कमकुवतता जीवनचक्र आहे: रहस्य प्रोफाइलमध्ये असते, अनेक डिव्हाइस ते सामायिक करू शकतात, आणि ते बदलणे म्हणजे ते वाहणाऱ्या प्रत्येक प्रोफाइलला हात लावणे। सेवा जर जोडीने एकवेळचा घटक किंवा परस्परसंवादी मंजुरी मागत असेल, तर कोणतीही स्थानिक सेटिंग ते धोरण देखरेखीशिवाय लॉगिनमध्ये बदलत नाही।
एका अॅपने साठवलेला पासवर्ड देखील दुसऱ्या VPN अंमलबजावणीसाठी स्वयंचलितपणे उपलब्ध होत नाही, म्हणूनच तेच खाते एका क्लायंटमध्ये विचारणे थांबवू शकते आणि दुसऱ्यात प्रत्येक वेळी विचारू शकते।
दुसरा पर्याय: स्वतःच्या कीसह डिव्हाइस प्रमाणपत्र
प्रमाणपत्र विनंती अधिक मजबूत पद्धतीने काढून टाकते, कारण iPad रहस्य पुन्हा सांगण्याऐवजी खाजगी कीची मालकी सिद्ध करते। त्यासाठी पत्र प्रमाणपत्र आणि त्याची की मंजूर नोंदणी मार्गाने येणे आवश्यक आहे, आणि गेटवेने त्या कनेक्शनसाठी प्रमाणपत्र प्रमाणीकरण स्वीकारणे आवश्यक आहे। फक्त CA प्रमाणपत्र आयात केल्याने डिव्हाइसला विश्वास सामग्री मिळते आणि दुसरे काही नाही, ही एक सामान्य आणि शांत अयशस्वीता आहे।
किंमत जीवनचक्राचे काम आहे। प्रत्येक iPad ला स्वतःची ओळख मिळते जेणेकरून हरवलेले डिव्हाइस संपूर्ण ताफा पुन्हा जारी न करता रद्द करता येईल, आणि समाप्ती तारखा खऱ्या कार्यचालन घटना बनतात। शांतपणे समाप्त होणारे प्रमाणपत्र त्या सकाळी VPN बिघाडासारखेच दिसते ज्या दिवशी ते घडते।
पसंतीऐवजी गेटवे काय स्वीकारतो यावरून निवडा
VPN प्रशासकाला दोन प्रश्न विचारा: या क्लायंट प्रकारासाठी सेवा कोणत्या प्रमाणीकरण पद्धती स्वीकारते, आणि त्यातील कोणत्याही पद्धतीसाठी परस्परसंवादी इनपुट आवश्यक आहे का। उत्तर फक्त प्रमाणपत्र असेल तर नोंदणी आणि नूतनीकरणाची योजना करा। उत्तर पासवर्डसह दुसरा घटक असेल तर विनंती धोरण आहे हे स्वीकारा आणि डिव्हाइसचा दोष म्हणून पाहणे थांबवा। दोन्ही स्वीकारले तर देखरेखीखालील ताफ्यासाठी जीवनचक्रात प्रमाणपत्र जिंकते आणि काही डिव्हाइसांसाठी सेटअपच्या श्रमात पासवर्ड।
निवडलेली पद्धत प्रोफाइल ओळखकर्त्यासोबत तैनाती नोंदीत लिहा, अन्यथा प्रोफाइलला हात लावणारा पुढील व्यक्ती दुसरी निवडेल।
मग सक्रियता प्रमाणीकरणापासून वेगळी करा
VPN On Demand टनेल तेव्हा उघडते जेव्हा कॉन्फिगर केलेली अट जुळते, ती DNS डोमेन असो, इंटरफेसचा प्रकार असो किंवा जोडलेले नेटवर्क, आणि Apple ते वापरकर्त्याच्या परस्परसंवादाची गरज नसल्याचे नोंदवते। हे अशा खाजगी संसाधनांसाठी योग्य आहे जी केव्हा काही त्यांची मागणी करेल तेव्हाच पोहोचण्यायोग्य व्हायला हवीत। हे व्यवस्थापित Always On सारखे नाही, जे व्याप्ती अंमलात ठेवते आणि स्वतःच्या देखरेख व प्रोफाइल अटी घेऊन येते।
कार्यरत क्रेडेन्शियल या दोन्हींपैकी कशासाठीही काही करत नाही। अनेक iPads कडे पूर्णपणे चांगले प्रमाणपत्र असते आणि तरीही हाताने स्पर्शाची वाट पाहतात कारण कोणताही मागणी-आधारित नियम कधी सक्रिय झाला नाही।
गरज अशा स्वरूपात सोपवा ज्यावर प्रशासक काम करू शकेल: या iPad ने या संसाधनांपर्यंत वारंवार वापरकर्ता इनपुटशिवाय, या प्रकारच्या क्रेडेन्शियलसह आणि या सक्रियता व बिघाड नियमांतर्गत पोहोचायला हवे। जर सध्याची सेवा त्या अटी पूर्ण करू शकत नसेल, तर वारंवार विचारणे हेच ते धोरण आहे जे योजनेनुसार काम करत आहे।