Kan en iPhone gjenbruke OpenVPN-profilen fra Macen din?

Én fungerende Mac-tilkobling er ikke en mal for en telefon, selv når begge bruker samme konto og samme server. Mac-profilen kan holde sertifikater i separate filer, bruke direktiver som bare gir mening på en datamaskin og være avhengig av en identitet som operatøren bare har utstedt til den maskinen. En telefon trenger sin egen pakke, sin egen identitet og sin egen importvei. Å skille politispørsmålet fra pakkespørsmålet er det meste av arbeidet.

Spør operatøren om to ting før du kopierer noe: om kontoen kan kjøre på mer enn én enhet, og om telefonen skal få sitt eget sertifikat.

Gjenbruk er først et politispørsmål, deretter et teknisk

Et klientsertifikat er en identitet, og å legge én identitet på to enheter betyr at serveren ikke kan skille dem i logger, i tilgangsregler eller ved en tilbakekalling. Noen installasjoner godtar det og aktiverer dupliserte fellesnavn eksplisitt; de fleste gjør det ikke, og den andre enheten blir enten avvist eller tar den første offline. Et delt brukernavn og passord gjør ikke et delt sertifikat passende. Få operatørens svar skriftlig før du planlegger noen overføring.

Revisjonssiden betyr like mye. Hvis telefonen mistes, kobler tilbakekallingen av et sertifikat som Macen også bruker, fra begge enhetene, og å la det forbli gyldig etterlater en telefon med fungerende VPN-tilgang. Et sertifikat per enhet gjør tapet om til en enkelt tilbakekalling, og det er nettopp derfor det ekstra registreringstrinnet finnes.

Mac-profilen og telefonprofilen er forskjellige i praksis

På en datamaskin kan en .ovpn-fil ligge ved siden av en CA, et sertifikat og en nøkkel i separate filer, og den kan bære kroker, skript og stier som bare gir mening i det operativsystemet. En mobilklient vil vanligvis ha delene innebygd eller levert gjennom en PKCS#12-pakke med passord, og den ignorerer eller avviser direktiver den ikke kan oppfylle. Kopiering av Macens fil gir ofte en import som mislykkes, eller en som kobler til med halvparten av valgene manglende. Løsningen er en vedlikeholdt mobilpakke fra operatøren, ikke en håndredigert fil med de vanskelige linjene slettet.

Behandle enhver fil med en privat nøkkel som legitimasjon, ikke som konfigurasjon. Profilnedlastinger går gjennom beskyttede kanaler av den grunn, og en kopi som blir liggende i en chattråd eller en nedlastingsmappe, er en levende hemmelighet med et vennlig filnavn.

Importer gjennom telefonens eget forløp

Installer den offisielle OpenVPN Connect-appen, og ta deretter profilen inn gjennom importforløpet, enten som fil eller som en tilkoblings-URL som operatøren oppgir. På en telefon uten administrasjon ber appen om tillatelse til å legge til en VPN-konfigurasjon, og det er systemets eget bekreftelsestrinn. Følg konto- og MFA-ledetekstene slik de vises i stedet for å forhåndsfylle verdier lånt fra Macen. Hvis importen lykkes og tilkoblingen ikke, ligger problemet i profilens innhold, ikke i overføringen.

På en administrert telefon kan administratoren begrense profilimport eller redigering gjennom kanalen for mobilenhetsadministrasjon. En begrenset app er ikke et puslespill som skal overvinnes; bruk administratorens registreringsvei, fordi den veien også styrer hva som skjer når telefonen byttes ut.

Bevis telefonen uavhengig

Åpne en privat ressurs fra telefonen på mobildata med Wi-Fi slått av, slik at forespørselen ikke stille kan ta en annen vei. At Macen forblir tilkoblet, beviser ingenting om telefonens ruter, DNS eller aksept av legitimasjon. Sammenlign deretter de to enhetene: et internt vertsnavn som løses opp på Macen og feiler på telefonen, peker på DNS-innstillinger som er forskjellige i de to pakkene. Noter profilnavnet, enhetens identitet og hvem som registrerte den.

Når noe feiler, ta vare på den nøyaktige meldingen og appversjonen. En importfeil og en tilkoblingsfeil kommer fra ulike lag, og å slå dem sammen i én rapport sløser bort en hel runde. En profil som importeres rent, beviser bare at filen ble tolket.

Etter registreringen sletter du overføringskopiene i henhold til oppbevaringspolicyen din og dokumenterer en vei for nyregistrering. En erstatningstelefon skal få en ny identitet, ikke en kopi av den gamle.