VPN pada iPad tanpa gesaan kata laluan: sijil atau log masuk tersimpan

»Berhenti meminta kata laluan daripada saya« sebenarnya menggabungkan tiga keperluan dalam satu aduan, dan penggunaan pada iPad menjawabnya di tempat yang berbeza. Gesaan datang daripada pengesahan, masanya daripada pengaktifan, dan liputannya daripada penguatkuasaan. Pilih kelayakan yang membuang gesaan itu, kemudian putuskan secara berasingan apa yang menentukan bila terowong terbuka. Mencampurkan kedua-dua keputusan itulah yang menyebabkan kata laluan tersimpan berakhir pada profil yang masih menunggu ketikan.

Dua masalah dalam satu aduan

Konfigurasi IKEv2 asli pada iPad boleh merujuk kepada kata laluan atau sijil, dan kunci AuthenticationMethod menentukan mana yang terpakai, manakala PayloadCertificateUUID menamakan kelayakan yang menyediakan identiti. Yang mana akan diterima get laluan ialah soal dasar pelayan, bukan keutamaan klien. Jadi perkara pertama yang perlu dipastikan ialah apa yang dibenarkan oleh perkhidmatan VPN, kerana iPad tidak boleh berunding menuju kaedah yang ditolak hujung sana.

Hanya selepas itu masuk akal untuk bercakap tentang bila terowong diaktifkan, yang merupakan set kunci profil yang sama sekali berbeza.

Pilihan pertama: kelayakan yang boleh digunakan semula oleh iPad

Kata laluan akaun tersimpan atau rahsia dikongsi memenuhi get laluan yang mengesahkan pengguna atau kumpulan, dan ia membuang gesaan selagi rahsia itu kekal sah. Kelemahannya ialah kitaran hayat: rahsia berada dalam profil, beberapa peranti boleh berkongsinya, dan putarannya bermakna menyentuh setiap profil yang membawanya. Jika perkhidmatan turut menuntut faktor sekali guna atau kelulusan interaktif, tiada tetapan setempat yang menukar dasar itu menjadi log masuk tanpa pengawasan.

Kata laluan yang disimpan oleh satu aplikasi juga tidak tersedia secara automatik kepada pelaksanaan VPN yang lain, sebab itulah akaun yang sama boleh berhenti meminta dalam satu klien dan meminta setiap kali dalam klien yang lain.

Pilihan kedua: sijil peranti dengan kunci sendiri

Sijil membuang gesaan dengan cara yang lebih kukuh, kerana iPad membuktikan pemilikan kunci peribadi dan bukannya memainkan semula rahsia. Itu memerlukan sijil daun dan kuncinya tiba melalui laluan pendaftaran yang diluluskan, dan get laluan menerima pengesahan sijil untuk sambungan itu. Mengimport sijil CA sahaja memberi peranti bahan kepercayaan dan tiada lagi, yang merupakan kegagalan biasa dan senyap.

Harganya ialah kerja kitaran hayat. Setiap iPad mendapat identiti sendiri supaya peranti yang hilang boleh dibatalkan tanpa menerbitkan semula seluruh armada, dan tarikh tamat tempoh menjadi peristiwa operasi sebenar. Sijil yang tamat tempoh secara senyap kelihatan sama seperti gangguan VPN pada pagi ia berlaku.

Pilih berdasarkan apa yang diterima get laluan, bukan keutamaan

Tanya pentadbir VPN dua soalan: kaedah pengesahan mana yang diterima perkhidmatan untuk jenis klien ini, dan sama ada mana-mana daripadanya memerlukan input interaktif. Jika jawapannya hanya sijil, rancang pendaftaran dan pembaharuan. Jika jawapannya kata laluan serta faktor kedua, terima bahawa gesaan itu ialah dasar dan berhenti menganggapnya sebagai kerosakan peranti. Jika kedua-duanya diterima, sijil menang dari segi kitaran hayat untuk armada yang diselia dan kata laluan menang dari segi usaha persediaan untuk beberapa peranti.

Tulis kaedah yang dipilih dalam rekod penggunaan di sebelah pengecam profil, kerana jika tidak, orang seterusnya yang menyentuh profil akan memilih yang satu lagi.

Kemudian asingkan pengaktifan daripada pengesahan

VPN On Demand membuka terowong apabila syarat yang dikonfigurasikan sepadan, sama ada domain DNS, jenis antara muka atau rangkaian yang disertai, dan Apple mendokumenkannya sebagai tidak memerlukan interaksi pengguna. Itu sesuai untuk sumber peribadi yang sepatutnya hanya boleh dicapai apabila sesuatu memintanya. Itu bukan sama seperti Always On terurus, yang mengekalkan liputan dikuatkuasakan dan membawa keperluan penyeliaan serta profil tersendiri.

Kelayakan yang berfungsi tidak melakukan apa-apa untuk kedua-duanya. Banyak iPad mempunyai sijil yang sempurna dan masih menunggu ketikan manual kerana tiada peraturan atas permintaan yang pernah tercetus.

Serahkan keperluan itu dalam bentuk yang boleh ditindaklanjuti pentadbir: iPad ini harus mencapai sumber itu tanpa input pengguna berulang, dengan jenis kelayakan ini, dan mengikut peraturan pengaktifan serta gangguan ini. Jika perkhidmatan semasa tidak dapat memenuhi syarat itu, gesaan berulang ialah dasar yang berfungsi seperti yang direka.