Du sende éin VPN-profil til alle, og han inneheld passordet ditt

Profilen blir installert reint, alle koplar til, og deretter blir kontopassordet rotert. Kvar eining som fekk fila, sluttar å autentisere i same minutt, fordi alle ber den same hemmelegheita. Det er teiknet: éi påloggingsopplysning kopiert inn i eit delt artefakt gjer ei rutinemessig passordendring til eit utfall for heile flåten. Å halde den gjenbrukbare konfigurasjonen og den individuelle identiteten som to separate overleveringar unngår det, og Apples eigen dokumentasjon om einingadministrasjon behandlar profilar som innstillingar og autorisasjon, ikkje som eit hemmeleg lager.

Symptomet viser seg ved den første rotasjonen

Ei mobileconfig-fil er XML eller ein signert plist. Alle som har ei kopi, kan dekode nyttelasta og lese kva som står i henne, så ein AuthPassword-verdi i ein mal er ei påloggingsopplysning i klartekst med ei uvanleg filending. Signering endrar integritet og opphav, ikkje lesbarheit. I mellomtida er delane du verkeleg vil dele, som gateway-adressa, forventa tenaridentitet og trafikkpolitikken, identiske for alle.

Sorter felta før du redigerer noko, fordi grensa er ikkje der folk trur.

Skil delte innstillingar frå individuelle påloggingsopplysningar

Den interaktive vegen er å la passordet vere utanfor og la det støtta autentiseringsoppsettet spørje etter det. Les det nøye: å slette eit felt som berre ser likt ut er ikkje ei universell omlegging til interaktiv innlogging. IKEv2-nyttelasta skil AuthName frå AuthPassword, og autentiseringsmetoden avgjer om ei førespurnad i det heile er nåbar; ein sertifikatbasert metode vil ikkje spørje etter passord i det heile.

Sertifikat treng heller ikkje ein delt nøkkel

Viss gatewayen ventar sertifikatautentisering, registrer den tiltenkte brukar- eller einingidentiteten gjennom den godkjende mekanismen og hald den private nøkkelen utanfor malen. Éin delt privat nøkkel i kvar kopi gjev deg det same rotasjonsproblemet med ein verre radius, fordi ein nøkkel ikkje kan trekkjast tilbake per person med mindre han vart gjeven ut per person.

Registrer utgiving, fornying og tilbaketrekking for den identiteten saman med profilrevisjonen. Når dei to blir spora saman, er ei fornying ei planlagd oppgåve i staden for ei hending.

Ubetjente maskinar treng eit tredje svar

Ein maskin som må kopie til før nokon loggar på, kan ikkje svare på ei førespurnad. Det er eit anna krav enn å gjere oppsettet enklare for ein innlogga person, og det bør løysast med ein administrert identitet eller eit sertifikat per eining avtalt med gateway-eigaren, ikkje ved å lagre eit menneskeleg passord i ein profil.

Å lagre eit passord fjernar heller ikkje ein andre faktor. Viss gatewayen krev MFA, feilar ein profil med lagra passord framleis ved oppstart, og feilen ser ut som ein øydelagd profil snarare enn ein manglande faktor.

Kontroller artefakten som faktisk vart generert

Malar lyg ved utelating. Ein administrasjonsteneste eller eit eksportverktøy kan injisere påloggingsopplysningar i den ferdige fila, og medfølgjande identitetsnyttelaster eller diagnostiske kopiar kan bere materiale som malen aldri viste. Opne den genererte artefakten før du bestemmer kven som kan få han. Hald også innstillingane for klarert utgivar og forventa tenaridentitet intakte; det å fjerne eit passord er ikkje grunn til å svekkje gateway-tillita.

Viss eit ekte passord eller ein privat identitet allereie har reist for vidt, trekk han tilbake hos utgivaren og byt han ut. Å redigere morgondagens mal gjer ingenting med kopiane som allereie er installerte, og dei kopiane vil halde fram med å autentisere til påloggingsopplysninga bak dei blir trekt tilbake.

Godta overleveringa med ein testidentitet

Installer gjennom den godkjende flyten på ei eining registrert som ein separat testidentitet, fullfør den tiltenkte autentiseringa og nå den private ressursen i staden for berre å sjå tunnelen kome opp. Stadfest at profilen ikkje inneheld påloggingsopplysningar, og stadfest deretter at påloggingsopplysninga finst i identitetsregistreringa som skal fornyast. Det paret er akseptansetesten.

Éin revisjon for delte innstillingar, éi registrering per person, og ein tilbaketrekkingsveg du faktisk har brukt éin gong.