Anda menghantar satu profil VPN kepada semua orang dan ia mengandungi kata laluan anda

Profil dipasang dengan bersih, semua orang bersambung, dan kemudian kata laluan akaun ditukar. Setiap peranti yang menerima fail itu berhenti mengesahkan pada minit yang sama, kerana semuanya membawa rahsia yang sama. Itulah tandanya: satu kelayakan yang disalin ke dalam artifak dikongsi menjadikan perubahan kata laluan rutin sebagai gangguan seluruh armada. Menyimpan konfigurasi yang boleh diguna semula dan identiti individu sebagai dua penyerahan berasingan mengelakkannya, dan dokumentasi pengurusan peranti Apple sendiri menganggap profil sebagai tetapan dan kebenaran, bukan sebagai stor rahsia.

Gejala muncul pada putaran pertama

Fail mobileconfig ialah XML atau plist yang ditandatangani. Sesiapa yang mempunyai salinan boleh menyahkod muatan dan membaca apa yang ada di dalamnya, jadi nilai AuthPassword dalam templat ialah kelayakan teks biasa dengan sambungan fail yang luar biasa. Penandatanganan mengubah integriti dan asal, bukan kebolehbacaan. Sementara itu, bahagian yang benar-benar ingin anda kongsi, seperti alamat gateway, identiti pelayan yang dijangka dan dasar trafik, adalah sama untuk semua orang.

Susun medan sebelum mengedit apa-apa, kerana sempadan bukan di tempat orang sangka.

Pisahkan tetapan dikongsi daripada kelayakan individu

Laluan interaktif ialah membiarkan kata laluan di luar dan membiarkan susunan pengesahan yang disokong memintanya. Baca dengan teliti: memadam medan yang hanya kelihatan serupa bukanlah penukaran sejagat kepada log masuk interaktif. Muatan IKEv2 membezakan AuthName daripada AuthPassword, dan kaedah pengesahan menentukan sama ada permintaan boleh dicapai; kaedah berasaskan sijil tidak akan meminta kata laluan sama sekali.

Sijil juga tidak memerlukan kunci dikongsi

Jika gateway menjangka pengesahan sijil, daftarkan identiti pengguna atau peranti yang dimaksudkan melalui mekanisme yang diluluskan dan simpan kunci peribadi di luar templat. Satu kunci peribadi dikongsi dalam setiap salinan memberi anda masalah putaran yang sama dengan jejari kesan yang lebih buruk, kerana kunci tidak boleh dibatalkan mengikut orang jika ia tidak dikeluarkan mengikut orang.

Rekod pengeluaran, pembaharuan dan pembatalan identiti itu bersama semakan profil. Apabila kedua-duanya dijejaki bersama, pembaharuan ialah tugas berjadual, bukan insiden.

Mesin tanpa pengawasan memerlukan jawapan ketiga

Mesin yang perlu bersambung sebelum seseorang log masuk tidak boleh menjawab permintaan. Ini keperluan berbeza daripada memudahkan persediaan untuk orang yang telah log masuk, dan ia harus diselesaikan dengan identiti terurus atau sijil setiap peranti yang dipersetujui dengan pemilik gateway, bukan dengan menyimpan kata laluan manusia dalam profil.

Menyimpan kata laluan juga tidak menghapuskan faktor kedua. Jika gateway memerlukan MFA, profil dengan kata laluan tersimpan tetap gagal semasa but, dan kegagalan itu kelihatan seperti profil rosak, bukan faktor yang hilang.

Periksa artifak yang sebenarnya dijana

Templat berbohong melalui peninggalan. Perkhidmatan pengurusan atau alat eksport boleh menyuntik kelayakan ke dalam fail siap, dan muatan identiti atau salinan diagnostik yang menyertainya boleh membawa bahan yang tidak pernah ditunjukkan oleh templat. Buka artifak yang dijana sebelum memutuskan siapa boleh menerimanya. Kekalkan juga tetapan pengeluar dipercayai dan identiti pelayan yang dijangka; membuang kata laluan bukan alasan untuk melemahkan kepercayaan kepada gateway.

Jika kata laluan sebenar atau identiti peribadi sudah tersebar terlalu luas, batalkan di pengeluar dan gantikannya. Mengedit templat esok tidak melakukan apa-apa kepada salinan yang sudah dipasang, dan salinan itu akan terus mengesahkan sehingga kelayakan di belakangnya ditarik balik.

Terima penyerahan dengan identiti ujian

Pasang melalui aliran yang diluluskan pada peranti yang didaftarkan sebagai identiti ujian berasingan, selesaikan pengesahan yang dimaksudkan dan capai sumber peribadi daripada hanya menonton terowong naik. Sahkan bahawa profil tidak mengandungi bahan kelayakan, kemudian sahkan bahawa kelayakan itu wujud dalam rekod identiti yang akan diperbaharui. Pasangan itulah ujian penerimaan.

Satu semakan untuk tetapan dikongsi, satu rekod setiap orang, dan laluan pembatalan yang benar-benar anda gunakan sekali.