Kan ein iPhone bruke OpenVPN-profilen frå Macen din på nytt?

Éi fungerande Mac-tilkopling er ikkje ein mal for ein telefon, sjølv når båe brukar same konto og same tenar. Mac-profilen kan halde sertifikat i separate filer, bruke direktiv som berre gir meining på ein datamaskin og vere avhengig av ein identitet som operatøren berre har gjeve ut til den maskinen. Ein telefon treng eigen pakke, eigen identitet og eigen importveg. Å skilje politispørsmålet frå pakkespørsmålet er det meste av arbeidet.

Spør operatøren om to ting før du kopierer noko: om kontoen kan køyre på meir enn éi eining, og om telefonen skal få sitt eige sertifikat.

Gjenbruk er først eit politispørsmål, deretter eit teknisk

Eit klientsertifikat er ein identitet, og å leggje éin identitet på to einingar betyr at tenaren ikkje kan skilje dei i loggar, i tilgangsreglar eller ved ein tilbakekalling. Nokre installasjonar godtek det og slår på dupliserte fellesnamn eksplisitt; dei fleste gjer det ikkje, og den andre eininga blir anten avvist eller tek den første offline. Eit delt brukarnamn og passord gjer ikkje eit delt sertifikat høveleg. Få svaret frå operatøren skriftleg før du planlegg noka overføring.

Revisjonssida tel like mykje. Viss telefonen blir borte, koplar tilbakekallinga av eit sertifikat som Macen òg brukar frå båe einingane, og å la det bli verande gyldig lèt att ein telefon med fungerande VPN-tilgang. Eit sertifikat per eining gjer tapet om til éi enkel tilbakekalling, og det er nettopp difor det ekstra registreringstrinnet finst.

Mac-profilen og telefonprofilen er ulike i praksis

På ein datamaskin kan ei .ovpn-fil liggje ved sida av ein CA, eit sertifikat og ein nøkkel i separate filer, og ho kan bera krokar, skript og stigar som berre gir meining i det operativsystemet. Ein mobilklient vil vanlegvis ha delane innebygde eller leverte gjennom ein PKCS#12-pakke med passord, og han ignorerer eller avviser direktiv han ikkje kan oppfylle. Kopiering av Macen si fil gir ofte ein import som mislukkast, eller ein som koplar til med halvparten av vala manglande. Løysinga er ein vedlikehalden mobilpakke frå operatøren, ikkje ei handredigert fil med dei vanskelege linjene sletta.

Handter kvar fil med ein privat nøkkel som legitimasjon, ikkje som konfigurasjon. Profilnedlastingar går gjennom verna kanalar av den grunn, og ein kopi som blir liggjande i ein chattråd eller ei nedlastingsmappe, er ein levande løyndom med eit venleg filnamn.

Importer gjennom telefonen sitt eige forløp

Installer den offisielle OpenVPN Connect-appen, og ta deretter profilen inn gjennom importforløpet, anten som fil eller som ein tilkopling-URL som operatøren oppgir. På ein telefon utan administrasjon ber appen om løyve til å leggje til ein VPN-konfigurasjon, og det er systemet sitt eige stadfestingstrinn. Følg konto- og MFA-leietekstane slik dei viser seg i staden for å fylle ut på førehand verdiar lånte frå Macen. Viss importen lykkast og tilkoplinga ikkje, ligg problemet i innhaldet i profilen, ikkje i overføringa.

På ein administrert telefon kan administratoren avgrense profilimport eller redigering gjennom kanalen for mobiladministrasjon. Ein avgrensa app er ikkje eit puslespel som skal vinnast; bruk registreringsvegen til administratoren, fordi den vegen òg styrer kva som skjer når telefonen blir bytt ut.

Bevis telefonen uavhengig

Opne ein privat ressurs frå telefonen på mobildata med Wi-Fi slått av, slik at førespurnaden ikkje stille kan ta ein annan veg. At Macen blir verande tilkopla, beviser ingenting om rutene, DNS-en eller godtakinga av legitimasjon på telefonen. Samanlikn deretter dei to einingane: eit internt vertsnamn som blir løyst opp på Macen og sviktar på telefonen, peikar på DNS-innstillingar som er ulike i dei to pakkane. Noter profilnamnet, identiteten til eininga og kven som registrerte henne.

Når noko sviktar, ta vare på den nøyaktige meldinga og appversjonen. Ein importfeil og ein tilkoplingsfeil kjem frå ulike lag, og å slå dei saman i éin rapport sløsar bort ein heil runde. Ein profil som blir importert reint, beviser berre at fila vart tolka.

Etter registreringa slettar du overføringskopiane i samsvar med oppbevaringspolitikken din og dokumenterer ein veg for nyregistrering. Ein erstatningstelefon skal få ein ny identitet, ikkje ein kopi av den gamle.