Du sendte én VPN-profil til alle, og den inneholder passordet ditt

Profilen installeres rent, alle kobler til, og deretter roteres kontopassordet. Hver enhet som fikk filen, slutter å autentisere i samme minutt, fordi alle bærer den samme hemmeligheten. Det er tegnet: én påloggingsopplysning kopiert inn i et delt artefakt gjør en rutinemessig passordendring til et utfall for hele flåten. Å holde den gjenbrukbare konfigurasjonen og den individuelle identiteten som to separate overleveringer unngår det, og Apples egen dokumentasjon om enhetsadministrasjon behandler profiler som innstillinger og autorisasjon, ikke som et hemmelig lager.

Symptomet vises ved den første rotasjonen

En mobileconfig-fil er XML eller en signert plist. Alle som har en kopi, kan dekode nyttelasten og lese hva som står i den, så en AuthPassword-verdi i en mal er en påloggingsopplysning i klartekst med en uvanlig filendelse. Signering endrer integritet og opprinnelse, ikke lesbarhet. I mellomtiden er delene du virkelig vil dele, som gateway-adressen, forventet serveridentitet og trafikkpolicyen, identiske for alle.

Sorter feltene før du redigerer noe, fordi grensen ikke er der folk tror.

Skill delte innstillinger fra individuelle påloggingsopplysninger

Den interaktive veien er å la passordet være utenfor og la det støttede autentiseringsoppsettet spørre etter det. Les det nøye: å slette et felt som bare ser likt ut er ikke en universell omlegging til interaktiv innlogging. IKEv2-nyttelasten skiller AuthName fra AuthPassword, og autentiseringsmetoden avgjør om en forespørsel i det hele tatt er nåbar; en sertifikatbasert metode vil ikke spørre etter passord i det hele tatt.

Sertifikater trenger heller ikke en delt nøkkel

Hvis gatewayen forventer sertifikatautentisering, registrer den tiltenkte bruker- eller enhetsidentiteten gjennom den godkjente mekanismen og hold den private nøkkelen utenfor malen. Én delt privat nøkkel i hver kopi gir deg det samme rotasjonsproblemet med en verre radius, fordi en nøkkel ikke kan tilbakekalles per person med mindre den ble utstedt per person.

Registrer utstedelse, fornyelse og tilbakekalling for den identiteten sammen med profilrevisjonen. Når de to spores sammen, er en fornyelse en planlagt oppgave i stedet for en hendelse.

Ubetjente maskiner trenger et tredje svar

En maskin som må koble til før noen logger på, kan ikke svare på en forespørsel. Det er et annet krav enn å gjøre oppsettet enklere for en innlogget person, og det bør løses med en administrert identitet eller et sertifikat per enhet avtalt med gateway-eieren, ikke ved å lagre et menneskelig passord i en profil.

Å lagre et passord fjerner heller ikke en andre faktor. Hvis gatewayen krever MFA, feiler en profil med lagret passord fortsatt ved oppstart, og feilen ser ut som en ødelagt profil snarere enn en manglende faktor.

Kontroller artefakten som faktisk ble generert

Maler lyver ved utelatelse. En administrasjonstjeneste eller et eksportverktøy kan injisere påloggingsopplysninger i den ferdige filen, og medfølgende identitetsnyttelaster eller diagnostiske kopier kan bære materiale som malen aldri viste. Åpne den genererte artefakten før du bestemmer hvem som kan motta den. Hold også innstillingene for klarert utsteder og forventet serveridentitet intakte; det å fjerne et passord er ikke grunn til å svekke gateway-tilliten.

Hvis et ekte passord eller en privat identitet allerede har reist for vidt, tilbakekall det hos utstederen og erstatt det. Å redigere morgendagens mal gjør ingenting med kopiene som allerede er installert, og de kopiene vil fortsette å autentisere til påloggingsopplysningen bak dem trekkes tilbake.

Godta overleveringen med en testidentitet

Installer gjennom den godkjente flyten på en enhet registrert som en separat testidentitet, fullfør den tiltenkte autentiseringen og nå den private ressursen i stedet for bare å se tunnelen komme opp. Bekreft at profilen ikke inneholder påloggingsopplysninger, og bekreft deretter at påloggingsopplysningen finnes i identitetsregistreringen som skal fornyes. Det paret er akseptansetesten.

Én revisjon for delte innstillinger, én registrering per person, og en tilbakekallingsvei du faktisk har brukt én gang.