VPN fuq iPad mingħajr talbiet għall-password: ċertifikati jew login imħaddem
Password imħaddem u ċertifikat tal-apparat ineħħu t-talba b'modijiet differenti. Qabbel it-tnejn, imbagħad iddeċiedi b'mod separat x'jiftaħ il-mina.
«Ieqaf staqsini għall-password» fil-verità jgħaqqad tliet rekwiżiti f'waħda ilment, u implimentazzjoni fuq iPad twieġeb għalihom f'postijiet differenti. It-talba tiġi mill-awtentikazzjoni, il-ħin mill-attivazzjoni u l-kopertura mill-infurzar. L-ewwel agħżel il-kredenzjali li tneħħi t-talba, imbagħad iddeċiedi b'mod separat x'jiddetermina meta tiftaħ il-mina. Li tħallat iż-żewġ deċiżjonijiet huwa eżattament ir-raġuni li password imħaddem jispiċċa fuq profil li għadu jistenna mess.
| Saved or shared secret | Device certificate | |
|---|---|---|
| What the user sees | no prompt while the credential stays valid | no prompt, no password to rotate |
| What the admin manages | the secret in the profile and its distribution | enrollment, expiry and revocation per device |
| Typical failure | gateway demands a second factor | expired or revoked certificate |
Żewġ problemi f'waħda ilment
Konfigurazzjoni IKEv2 nattiva fuq iPad tista' tirreferi għal password jew għal ċertifikat, u l-kjavi AuthenticationMethod tiddetermina liema waħda tapplika, filwaqt li PayloadCertificateUUID issemmi l-kredenzjali li tagħti l-identità. Liema minnhom se jaċċetta l-gateway hija kwistjoni ta' politika tas-server, mhux preferenza tal-klijent. Għalhekk l-ewwel ħaġa li trid tiġi stabbilita hija dak li s-servizz VPN jippermetti, għax l-iPad ma jistax jinnegozja sa metodu li ċ-ċaħda tiegħu tagħmel in-naħa l-oħra.
Biss wara dan jagħmel sens li nitkellmu dwar meta tiġi attivata l-mina, li hija sett kompletament differenti ta' kjavijiet tal-profil.
L-ewwel għażla: kredenzjali li l-iPad jista' jerġa' juża
Password tal-kont imħaddem jew sigriet kondiviż jissodisfa gateway li jawtentika lill-utent jew lill-grupp, u jneħħi t-talba sakemm is-sigriet jibqa' validu. Id-dgħufija tiegħu hija ċ-ċiklu tal-ħajja: is-sigriet jinsab fil-profil, diversi apparati jistgħu jaqsmuħ, u r-rotazzjoni tiegħu tfisser li tmiss kull profil li jġorru. Jekk is-servizz jitlob ukoll fattur ta' darba jew approvazzjoni interattiva, l-ebda setting lokali ma jbiddel dik il-politika fi dħul mingħajr superviżjoni.
Password imħaddem minn app waħda wkoll mhuwiex awtomatikament disponibbli għal implimentazzjoni oħra tal-VPN, u għalhekk l-istess kont jista' jieqaf jistaqsi fi klijent u jistaqsi kull darba f'ieħor.
It-tieni għażla: ċertifikat tal-apparat bil-kjavi tiegħu
Ċertifikat ineħħi t-talba b'mod aktar b'saħħtu, għax l-iPad juri l-pussess ta' kjavi privata minflok ma jtenni sigriet. Dan jeħtieġ li ċ-ċertifikat tal-werqa u l-kjavi tiegħu jaslu permezz tat-triq tar-reġistrazzjoni approvata, u li l-gateway jaċċetta l-awtentikazzjoni b'ċertifikat għal dik il-konnessjoni. Li timporta biss ċertifikat CA jagħti lill-apparat materjal ta' fiduċja u xejn aktar, li hija falliment komuni u sieket.
Il-prezz huwa xogħol taċ-ċiklu tal-ħajja. Kull iPad jieħu l-identità tiegħu stess sabiex apparat mitluf jista' jiġi revokat mingħajr ma jerġa' jiġi maħruġ il-flotta kollha, u d-dati tal-iskadenza jsiru avvenimenti operattivi reali. Ċertifikat li jiskadi bil-kwiet jidher eżattament bħal waqfa tal-VPN filgħodu li fih jiġri.
Agħżel skont dak li jaċċetta l-gateway, mhux skont il-preferenza
Staqsi lill-amministratur tal-VPN żewġ affarijiet: liema metodi ta' awtentikazzjoni s-servizz jaċċetta għal dan it-tip ta' klijent, u jekk xi wieħed minnhom jeħtieġx input interattiv. Jekk it-tweġiba hija ċertifikat biss, ippjana r-reġistrazzjoni u t-tiġdid. Jekk it-tweġiba hija password flimkien ma' tieni fattur, aċċetta li t-talba hija politika u waqaf milli tqisha bħala ħsara tal-apparat. Jekk it-tnejn huma aċċettati, iċ-ċertifikat jirbaħ fiċ-ċiklu tal-ħajja għal flotta sorveljata u l-password tirbaħ fl-isforz tat-twaqqif għal ftit apparati.
Ikteb il-metodu magħżul fir-rekord tal-implimentazzjoni ħdejn l-identifikatur tal-profil, inkella l-persuna li jmiss li tmiss il-profil tagħżel l-ieħor.
Imbagħad ifred l-attivazzjoni mill-awtentikazzjoni
VPN On Demand jiftaħ il-mina meta kundizzjoni kkonfigurata taqbel, kemm jekk hija dominju DNS, tip ta' interface jew netwerk magħqud, u Apple tiddokumentah bħala wieħed li ma jeħtieġx interazzjoni tal-utent. Dan jaqbel għal riżorsi privati li għandhom ikunu aċċessibbli biss meta xi ħaġa titlobhom. Mhuwiex l-istess bħal Always On ġestit, li jżomm il-kopertura infurzata u jġib miegħu r-rekwiżiti tiegħu ta' superviżjoni u profil.
Kredenzjali li taħdem ma tagħmel xejn għall-ebda waħda. Ħafna iPads għandhom ċertifikat tajjeb għal kollox u xorta jistennew mess manwali għax qatt ma nqabdet xi regola fuq talba.
Għaddi r-rekwiżit f'forma li amministratur jista' jaġixxi fuqha: dan l-iPad għandu jilħaq dawn ir-riżorsi mingħajr input ripetut tal-utent, b'dan it-tip ta' kredenzjali, u taħt dawn ir-regoli ta' attivazzjoni u waqfa. Jekk is-servizz attwali ma jistax jissodisfa dawk il-kundizzjonijiet, it-talbiet ripetuti huma l-politika li taħdem kif iddisinjata.