L-iPad għandu bżonn iċ-ċertifikat tal-klijent VPN tiegħu stess?

iPad ġdid jingħaqad mat-tim, u l-iktar triq mgħaġġla hi li tesporta ċ-ċertifikat tal-klijent eżistenti u tinstallah fuq it-tablet. Dan jaħdem sakemm xi ħadd jitlaq, jitlef apparat jew jitlob verifika li tgħid liema apparat ikkonnettja u meta. Id-deċiżjoni mhix dwar il-fajl taċ-ċertifikat iżda dwar l-identità: jekk kull apparat jistax jiġi awtorizzat u revokat waħdu. L-ispiża u l-isforz tal-immaniġġjar jiddeċiedu t-tweġiba, u t-tnejn huma iżgħar milli jidhru.

Ħarġien komuni, identitajiet separati

Kull apparat jista' jafda l-istess awtorità taċ-ċertifikati u jikkonnettja mal-istess gateway filwaqt li jkollu identità tal-klijent differenti. Il-ħarrieġ huwa ankra tal-fiduċja, filwaqt li l-identità hija par ċwievet li s-suġġett tagħha s-server jimmapja għal politika. Huwa t-taħlit tat-tnejn li jagħmel ċertifikat maqsum jidher bla ħsara. Jibqa' bla ħsara biss sakemm xi ħadd ikollu bżonn ikun jaf liema apparat fetaħ sessjoni.

Li taqsam il-ħarrieġ jiffranka xogħol ta' konfigurazzjoni u ma jbiddel xejn fir-responsabbiltà għal kull apparat. Li taqsam l-identità tgħaqqad kull apparat fi unità waħda revokabbli: irrevoka wieħed u tirrevoka kollha, u awtorizza sostitut u tawtorizza kull kopja taċ-ċavetta li qatt saret. Dak il-baratt għandu jsir b'mod espliċitu minflok ma tikkopja fajl għax huwa aktar mgħaġġel nhar il-Ġimgħa wara nofsinhar.

Meta t-tieni ċertifikat jiswa wisq

Ir-reġistrazzjoni għal kull apparat tiswa pass wieħed: profil immaniġġjat, talba SCEP jew import iggwidat b'password ta' darba. Tiswa wkoll post biex isiru jitqiesu n-numri tas-serje u d-dati tal-iskadenza, il-parti li ħafna implimentazzjonijiet jinsiew sa ma jiskadi l-ewwel ċertifikat. Iż-żewġ spejjeż huma ta' darba, u t-tnejn jiċkienu malli l-fluss tar-reġistrazzjoni jawtomatizzahom.

L-ispiża hija reali għal dar b'żewġ tablets u utent wieħed, fejn identità maqsuma hija deċiżjoni raġonevoli dokumentata f'sentenza waħda. Mhix raġonevoli għal servizz fejn l-aċċess għandu jiġi rtirat għal kull persuna jew għal kull apparat, għax l-istorja tar-revoka hija r-raġuni kollha biex jintużaw ċertifikati minflok password. Iġġudika l-implimentazzjoni minn kemm ta' spiss l-apparati jbiddlu sidhom, mhux minn kemm hemm apparati llum.

Irreġistra l-Apparat, Tissajjax iċ-Ċavetta

Pjattaformi moderni jżommu ċwievet privati f'maħżen protett, u xi wħud jimmarkawhom bħala mhux esportabbli b'disinn. Dik il-proprjetà hija li tagħmel il-kopja impossibbli mill-bidu, u hija wkoll ir-raġuni għaliex pakkett esportat minn laptop ma jistax sempliċement jiġi importat mill-ġdid fuq tablet b'ebda mod appoġġjat. L-attentat xorta jipproduċi profil li jinstalla nadif u mbagħad qatt ma jawtentika.

Uża l-metodu ta' reġistrazzjoni li l-implimentazzjoni diġà tappoġġja: profil tal-identità mmaniġġjat, servizz SCEP jew fluss ibbażat fuq kont li joħroġ ċavetta ġdida fuq l-apparat. Li tqassam iċ-ċavetta privata tal-awtorità taċ-ċertifikati biex issolvi identità nieqsa hija żball ieħor b'raġġ ta' impatt ferm akbar. L-awtorità toħroġ kredenzjali u qatt m'għandha tivvjaġġa sal-punt tat-tmiem.

Iċċekkja r-Revoka Qabel Twieġeb

Qabel tagħżel l-għażla maqsuma, iddeskrivi kif tidher ir-revoka fl-agħar jum. Jekk it-tweġiba hija azzjoni waħda li taffettwa diversi apparati, id-disinn diġà ddeċieda kontra tiegħek.

openssl pkcs12 -in client.p12 -info -noout
openssl x509 -in client.pem -noout -subject -issuer -serial -dates
openssl verify -CAfile ca.pem client.pem

Eżamina l-materjal li fil-fatt għandek: jekk teżistix ċavetta privata, x'jgħid is-suġġett u jekk in-numru tas-serje jistax jiġi revokat individwalment. Fajl taċ-ċertifikat mingħajr iċ-ċavetta tiegħu ma jista' jawtentika xejn, u għalhekk xi identitajiet ikkupjati jonqsu fl-ewwel konnessjoni.

It-tħassir ta' app mit-tablet mhix revoka, u s-server jibqa' jaċċetta l-identità sakemm xi ħadd jiddiżattivaha. Ikteb dik is-sentenza fir-runbook qabel ma jiġi rreġistrat l-ewwel apparat.