VPN på iPad utan passordspørsmål: sertifikat eller lagra pålogging
Eit lagra passord og eit einingssertifikat fjernar spørsmålet på ulike måtar. Samanlikn dei, og vel deretter kvar for seg kva som opnar tunnelen.
»Slutt å spørje meg om eit passord« er eigentleg tre krav samla i éi klage, og ein iPad-utrulling svarar på dei på ulike stader. Spørsmålet kjem frå autentiseringa, tidspunktet kjem frå aktiveringa, og dekninga kjem frå handhevinga. Vel påloggingsdetalja som fjernar spørsmålet, og avgjer deretter kvar for seg kva som bestemmer når tunnelen opnar. Å blande dei to avgjerdene er nettopp korleis ein endar med eit lagra passord på ein profil som framleis ventar på eit trykk.
| Saved or shared secret | Device certificate | |
|---|---|---|
| What the user sees | no prompt while the credential stays valid | no prompt, no password to rotate |
| What the admin manages | the secret in the profile and its distribution | enrollment, expiry and revocation per device |
| Typical failure | gateway demands a second factor | expired or revoked certificate |
To problem i éi klage
Ein innebygd IKEv2-konfigurasjon på iPad kan vise til eit passord eller eit sertifikat, og nøkkelen AuthenticationMethod avgjer kva for ein som gjeld, medan PayloadCertificateUUID namngir påloggingsdetalja som leverer identiteten. Kva for ein av dei gatewayen godtek, er eit spørsmål om serverpolicy og ikkje om klientpreferanse. Det første ein må fastslå, er derfor kva VPN-tenesta tillet, fordi ein iPad kan ikkje forhandle seg fram til ein metode som den andre sida avviser.
Først etterpå er det meiningsfullt å snakke om når tunnelen blir aktivert, som er eit heilt anna sett profilnøklar.
Alternativ éin: ei påloggingsdetalje iPad kan bruke om att
Eit lagra kontopassord eller ein delt løyndom tilfredsstiller ein gateway som autentiserer brukaren eller gruppa, og det fjernar spørsmålet så lenge løyndomen er gyldig. Svakheita er livssyklusen: løyndomen ligg i profilen, fleire einingar kan dele han, og rotasjon betyr å røre kvar profil som ber han. Krev tenesta også ein eingongsfaktor eller ei interaktiv godkjenning, gjer inga lokal innstilling den policyen om til ei uovervaka pålogging.
Eit passord som er lagra av ein app, er heller ikkje automatisk tilgjengeleg for ei anna VPN-implementering, og difor kan same konto slutte å spørje i ein klient og spørje kvar gong i ein annan.
Alternativ to: eit einingssertifikat med eigen nøkkel
Eit sertifikat fjernar spørsmålet på ein sterkare måte, fordi iPad beviser at han har ein privat nøkkel i staden for å gjenta ein løyndom. Det krev at løvsertifikatet og nøkkelen kjem inn via den godkjende registreringsvegen, og at gatewayen godtek sertifikatautentisering for den tilkoplinga. Å importere berre eit CA-sertifikat gir eininga tillitsmateriale og ingenting anna, noko som er ein vanleg og stille feil.
Prisen er livssyklusarbeid. Kvar iPad får sin eigen identitet, slik at ei tapt eining kan tilbakekallast utan å utstede heile flåten på nytt, og utløpsdatoar blir reelle driftshendingar. Eit sertifikat som stille går ut ser nøyaktig ut som eit VPN-avbrot morgonen det skjer.
Vel etter kva gatewayen godtek, ikkje etter preferanse
Still VPN-administratoren to spørsmål: kva autentiseringsmetodar tenesta godtek for denne klienttypen, og om nokon av dei krev interaktiv inndata. Er svaret berre sertifikat, planlegg registrering og fornying. Er svaret passord pluss ein andre faktor, godta at spørsmålet er policy og slutt å handsame det som ein einingsfeil. Er begge godtekne, vinn sertifikatet på livssyklus for ein overvaka flåte og passordet på oppsettsarbeid for ein handfull einingar.
Skriv den valde metoden i utrullingsloggen ved sida av profilidentifikatoren, elles vel neste person som rører profilen den andre.
Skil deretter aktivering frå autentisering
VPN On Demand opnar tunnelen når eit konfigurert vilkår stemmer, anten det er eit DNS-domene, ein grensesnitttype eller eit tilkopla nettverk, og Apple dokumenterer det som at det ikkje krev brukarinteraksjon. Det passar godt for private ressursar som berre skal bli tilgjengelege når noko ber om dei. Det er ikkje det same som administrert Always On, som held dekninga handheva og kjem med eigne krav til overvaking og profilar.
Ei fungerande påloggingsdetalje gjer ingen av delane. Mange iPadar har eit heilt fint sertifikat og ventar likevel på eit manuelt trykk fordi ingen on-demand-regel nokon gong blei utløyst.
Lever kravet i ei form ein administrator kan handle på: denne iPaden skal nå desse ressursane utan tilbakevendande brukarinndata, med denne typen påloggingsdetalje og under desse aktiverings- og avbrotsreglane. Kan den noverande tenesta ikkje oppfylle vilkåra, er gjentekne spørsmål policyen som fungerer som tenkt.