VPN op iPad zonder wachtwoordprompt: certificaten versus opgeslagen aanmelding
Een opgeslagen wachtwoord en een apparaatcertificaat halen de prompt op verschillende manieren weg. Vergelijk ze en kies daarna apart wat de tunnel opent.
„Stop met mij om een wachtwoord vragen” bundelt eigenlijk drie eisen in één klacht, en een iPad-implementatie beantwoordt ze op verschillende plekken. De prompt komt uit authenticatie, het moment komt uit activering en de dekking komt uit handhaving. Kies eerst de referentie die de prompt wegneemt en bepaal daarna apart wat bepaalt wanneer de tunnel opengaat. Die twee beslissingen door elkaar halen is precies hoe een opgeslagen wachtwoord belandt op een profiel dat nog steeds op een tik wacht.
| Saved or shared secret | Device certificate | |
|---|---|---|
| What the user sees | no prompt while the credential stays valid | no prompt, no password to rotate |
| What the admin manages | the secret in the profile and its distribution | enrollment, expiry and revocation per device |
| Typical failure | gateway demands a second factor | expired or revoked certificate |
Twee problemen in één klacht
Een native IKEv2-configuratie op iPad kan verwijzen naar een wachtwoord of een certificaat, en de sleutel AuthenticationMethod bepaalt welke van de twee geldt, terwijl PayloadCertificateUUID de referentie aanwijst die de identiteit levert. Welke daarvan de gateway accepteert, is een kwestie van serverbeleid en niet van clientvoorkeur. Eerst moet dus vaststaan wat de VPN-dienst toestaat, want een iPad kan niet naar een methode onderhandelen die de andere kant weigert.
Pas daarna is het zinvol om te praten over wanneer de tunnel activeert, want dat is een heel andere set profielsleutels.
Optie één: een referentie die de iPad kan hergebruiken
Een opgeslagen accountwachtwoord of een gedeeld geheim voldoet aan een gateway die de gebruiker of de groep authenticeert, en het haalt de prompt weg zolang het geheim geldig blijft. De zwakte is de levensduur: het geheim staat in het profiel, meerdere apparaten kunnen het delen, en rouleren betekent elk profiel aanraken dat het bevat. Als de dienst ook een eenmalige factor of een interactieve goedkeuring eist, maakt geen enkele lokale instelling van dat beleid een onbeheerde aanmelding.
Een wachtwoord dat door de ene app is opgeslagen, is ook niet automatisch beschikbaar voor een andere VPN-implementatie; daarom kan hetzelfde account in de ene client stoppen met vragen en in de andere elke keer vragen.
Optie twee: een apparaatcertificaat met een eigen sleutel
Een certificaat haalt de prompt op een sterke manier weg, omdat de iPad het bezit van een privésleutel bewijst in plaats van een geheim te herhalen. Dat vereist dat het eindcertificaat en zijn sleutel via het goedgekeurde inschrijvingspad binnenkomen, en dat de gateway certificaatauthenticatie voor die verbinding accepteert. Alleen een CA-certificaat importeren geeft het apparaat vertrouwensmateriaal en verder niets, wat een veelvoorkomende en stille fout is.
De prijs is levensduurwerk. Elke iPad krijgt een eigen identiteit, zodat een verloren apparaat kan worden ingetrokken zonder de hele vloot opnieuw uit te geven, en vervaldata worden echte operationele gebeurtenissen. Een certificaat dat stil verloopt, ziet er op de ochtend dat het gebeurt precies uit als een VPN-storing.
Kies op basis van wat de gateway accepteert, niet op basis van voorkeur
Stel de VPN-beheerder twee vragen: welke authenticatiemethoden de dienst voor dit clienttype accepteert, en of een daarvan interactieve invoer vereist. Is het antwoord alleen certificaat, plan dan inschrijving en vernieuwing. Is het antwoord wachtwoord plus een tweede factor, accepteer dan dat de prompt beleid is en behandel hem niet langer als een apparaatfout. Worden beide geaccepteerd, dan wint het certificaat op levensduur voor een beheerde vloot en het wachtwoord op installatie-inspanning voor een handvol apparaten.
Schrijf de gekozen methode samen met de profielidentificatie in het implementatieregister, want anders kiest de volgende persoon die het profiel aanraakt de andere.
Scheid daarna activering van authenticatie
VPN On Demand opent de tunnel wanneer aan een geconfigureerde voorwaarde wordt voldaan, of dat nu een DNS-domein, een interfacetype of een verbonden netwerk is, en Apple documenteert dit als iets dat geen gebruikersinteractie vereist. Dat past goed bij privéresources die alleen bereikbaar moeten worden wanneer iets erom vraagt. Het is niet hetzelfde als beheerd Always On, dat de dekking afgedwongen houdt en eigen toezicht- en profielvereisten meebrengt.
Een werkende referentie doet voor geen van beide iets. Veel iPads hebben een prima certificaat en wachten toch op een handmatige tik, omdat er nooit een on-demand-regel is afgegaan.
Lever de eis aan in een vorm waar een beheerder iets mee kan: deze iPad moet deze resources bereiken zonder terugkerende gebruikersinvoer, met dit type referentie en onder deze activerings- en storingsregels. Kan de huidige dienst niet aan die voorwaarden voldoen, dan zijn herhaalde prompts het beleid dat werkt zoals bedoeld.