Adakah iPad Memerlukan Sijil Klien VPN Sendiri?

iPad baharu menyertai pasukan, dan laluan terpantas ialah mengeksport sijil klien sedia ada dan memasangnya pada tablet. Ia berfungsi sehingga seseorang keluar, kehilangan peranti atau meminta audit yang menyatakan peranti mana bersambung dan bila. Keputusan bukan tentang fail sijil tetapi tentang identiti: sama ada setiap peranti boleh dibenarkan dan dibatalkan sendiri. Kos dan usaha pengurusan menentukan jawapannya, dan kedua-duanya lebih kecil daripada yang kelihatan.

Pengeluar sama, identiti berasingan

Setiap peranti boleh mempercayai pihak berkuasa sijil yang sama dan bersambung ke gateway yang sama sambil memegang identiti klien berbeza. Pengeluar ialah sauh kepercayaan, manakala identiti ialah pasangan kunci yang subjeknya dipetakan oleh pelayan kepada dasar. Mencampurkan kedua-duanya itulah yang membuat sijil dikongsi kelihatan tidak berbahaya. Ia kekal tidak berbahaya hanya sehingga seseorang perlu tahu peranti mana yang membuka sesi.

Berkongsi pengeluar menjimatkan kerja konfigurasi dan tidak mengubah apa-apa dalam akauntabiliti setiap peranti. Berkongsi identiti meruntuhkan setiap peranti menjadi satu unit boleh batal: membatalkan satu membatalkan semua, dan membenarkan pengganti membenarkan setiap salinan kunci yang pernah dibuat. Perdagangan itu wajar dibuat secara jelas dan bukan dengan menyalin fail kerana ia lebih cepat pada petang Jumaat.

Apabila Sijil Kedua Terlalu Mahal

Pendaftaran setiap peranti mengambil satu langkah: muatan terurus, permintaan SCEP atau import berpandu dengan kata laluan sekali guna. Ia juga memerlukan tempat untuk menjejak nombor siri dan tarikh luput, bahagian yang paling banyak dilupakan oleh penggunaan sehingga sijil pertama tamat tempoh. Kedua-dua kos adalah sekali sahaja, dan kedua-duanya mengecil apabila aliran pendaftaran mengautomasikannya.

Kosnya nyata bagi isi rumah dengan dua tablet dan seorang pengguna, di mana identiti dikongsi ialah keputusan munasabah yang didokumenkan dalam satu ayat. Ia tidak munasabah bagi perkhidmatan yang aksesnya mesti ditarik balik mengikut orang atau peranti, kerana kisah pembatalan itulah seluruh sebab menggunakan sijil dan bukannya kata laluan. Nilai penggunaan itu dari segi kekerapan peranti bertukar tangan, bukan dari segi berapa banyak peranti yang ada hari ini.

Daftarkan Peranti, Jangan Salin Kunci

Platform moden menyimpan kunci peribadi dalam storan terlindung, dan sesetengahnya menandakannya sebagai tidak boleh dieksport secara reka bentuk. Sifat itulah yang menjadikan penyalinan mustahil sejak awal, dan ia juga sebab mengapa bungkusan yang dieksport dari komputer riba tidak boleh diimport semula ke tablet dengan apa-apa cara yang disokong. Cubaan tetap menghasilkan profil yang dipasang bersih dan kemudian tidak pernah mengesahkan identiti.

Gunakan kaedah pendaftaran yang sudah disokong oleh penggunaan: muatan identiti terurus, perkhidmatan SCEP atau aliran berasaskan akaun yang mengeluarkan kunci baharu pada peranti. Mengedarkan kunci peribadi pihak berkuasa sijil untuk menyelesaikan identiti yang hilang ialah kesilapan lain dengan jejari kesan yang jauh lebih besar. Pihak berkuasa mengeluarkan kelayakan dan tidak sepatutnya bergerak ke titik akhir.

Semak Pembatalan Sebelum Anda Menjawab

Sebelum memilih pilihan dikongsi, huraikan bagaimana pembatalan kelihatan pada hari terburuk. Jika jawapannya satu tindakan yang menjejaskan beberapa peranti, reka bentuk itu sudah memutuskan terhadap anda.

openssl pkcs12 -in client.p12 -info -noout
openssl x509 -in client.pem -noout -subject -issuer -serial -dates
openssl verify -CAfile ca.pem client.pem

Periksa bahan yang benar-benar anda pegang: sama ada kunci peribadi ada, apa kata subjek dan sama ada nombor siri boleh dibatalkan secara berasingan. Fail sijil tanpa kuncinya tidak boleh mengesahkan apa-apa, dan itulah sebabnya sesetengah identiti yang disalin gagal pada sambungan pertama.

Memadam aplikasi dari tablet bukan pembatalan, dan pelayan terus menerima identiti itu sehingga seseorang menyahaktifkannya. Tulis ayat itu dalam runbook sebelum peranti pertama didaftarkan.