VPN på iPad uten passordspørsmål: sertifikater eller lagret pålogging
Et lagret passord og et enhetssertifikat fjerner spørsmålet på ulike måter. Sammenlign dem, og velg deretter separat hva som åpner tunnelen.
»Slutt å spørre meg om et passord« er egentlig tre krav samlet i én klage, og en iPad-utrulling besvarer dem på forskjellige steder. Spørsmålet kommer fra autentiseringen, tidspunktet kommer fra aktiveringen, og dekningen kommer fra håndhevingen. Velg påloggingsdetaljen som fjerner spørsmålet, og bestem deretter separat hva som avgjør når tunnelen åpnes. Å blande de to beslutningene er nettopp hvordan man ender med et lagret passord på en profil som fortsatt venter på et trykk.
| Saved or shared secret | Device certificate | |
|---|---|---|
| What the user sees | no prompt while the credential stays valid | no prompt, no password to rotate |
| What the admin manages | the secret in the profile and its distribution | enrollment, expiry and revocation per device |
| Typical failure | gateway demands a second factor | expired or revoked certificate |
To problemer i én klage
En innebygd IKEv2-konfigurasjon på iPad kan referere til et passord eller et sertifikat, og nøkkelen AuthenticationMethod avgjør hvilken som gjelder, mens PayloadCertificateUUID navngir påloggingsdetaljen som leverer identiteten. Hvilken av dem gatewayen godtar, er et spørsmål om serverpolicy og ikke om klientpreferanse. Det første som må fastslås, er derfor hva VPN-tjenesten tillater, fordi en iPad ikke kan forhandle seg frem til en metode som den andre enden avviser.
Først etterpå er det meningsfullt å snakke om når tunnelen aktiveres, som er et helt annet sett profilnøkler.
Alternativ én: en påloggingsdetalj iPad kan gjenbruke
Et lagret kontopassord eller en delt hemmelighet tilfredsstiller en gateway som autentiserer brukeren eller gruppen, og det fjerner spørsmålet så lenge hemmeligheten er gyldig. Svakheten er livssyklusen: hemmeligheten ligger i profilen, flere enheter kan dele den, og rotasjon betyr å røre hver profil som bærer den. Hvis tjenesten også krever en engangsfaktor eller en interaktiv godkjenning, gjør ingen lokal innstilling den policyen om til en uovervåket pålogging.
Et passord som er lagret av én app, er heller ikke automatisk tilgjengelig for en annen VPN-implementering, og derfor kan samme konto slutte å spørre i én klient og spørre hver gang i en annen.
Alternativ to: et enhetssertifikat med egen nøkkel
Et sertifikat fjerner spørsmålet på en sterkere måte, fordi iPad beviser besittelse av en privat nøkkel i stedet for å gjenta en hemmelighet. Det krever at løvsertifikatet og nøkkelen kommer inn via den godkjente registreringsveien, og at gatewayen godtar sertifikatautentisering for den tilkoblingen. Å importere bare et CA-sertifikat gir enheten tillitsmateriale og ingenting annet, noe som er en vanlig og stille feil.
Prisen er livssyklusarbeid. Hver iPad får sin egen identitet, slik at en tapt enhet kan tilbakekalles uten å utstede hele flåten på nytt, og utløpsdatoer blir reelle driftshendelser. Et sertifikat som stille utløper ser nøyaktig ut som et VPN-avbrudd morgenen det skjer.
Velg etter hva gatewayen godtar, ikke etter preferanse
Still VPN-administratoren to spørsmål: hvilke autentiseringsmetoder tjenesten godtar for denne klienttypen, og om noen av dem krever interaktiv inndata. Er svaret bare sertifikat, planlegg registrering og fornyelse. Er svaret passord pluss en andre faktor, godta at spørsmålet er policy og slutt å behandle det som en enhetsfeil. Hvis begge godtas, vinner sertifikatet på livssyklus for en overvåket flåte og passordet på oppsettsarbeid for en håndfull enheter.
Skriv den valgte metoden i utrullingsloggen ved siden av profilidentifikatoren, ellers velger neste person som rører profilen den andre.
Skill deretter aktivering fra autentisering
VPN On Demand åpner tunnelen når en konfigurert betingelse er oppfylt, enten det er et DNS-domene, en grensesnitttype eller et tilkoblet nettverk, og Apple dokumenterer det som at det ikke krever brukerinteraksjon. Det passer godt for private ressurser som bare skal bli tilgjengelige når noe ber om dem. Det er ikke det samme som administrert Always On, som holder dekningen håndhevet og kommer med egne krav til overvåking og profiler.
En fungerende påloggingsdetalj gjør ingen av delene. Mange iPader har et helt fint sertifikat og venter likevel på et manuelt trykk fordi ingen on-demand-regel noen gang ble utløst.
Lever kravet i en form en administrator kan handle på: denne iPaden skal nå disse ressursene uten tilbakevendende brukerinndata, med denne typen påloggingsdetalj og under disse aktiverings- og avbruddsreglene. Hvis den nåværende tjenesten ikke kan oppfylle vilkårene, er gjentatte spørsmål policyen som fungerer som tenkt.