VPN na iPadzie bez monitów o hasło: certyfikaty a zapisane logowanie
Zapisane hasło i certyfikat urządzenia usuwają monit na różne sposoby. Porównaj je, a potem osobno zdecyduj, co otwiera tunel.
„Przestań pytać mnie o hasło” to w rzeczywistości trzy wymagania zebrane w jednej skardze, a wdrożenie na iPadzie odpowiada na nie w różnych miejscach. Monit pochodzi z uwierzytelniania, moment z aktywacji, a zasięg z egzekwowania. Najpierw wybierz poświadczenie, które usuwa monit, a potem osobno zdecyduj, co decyduje o tym, kiedy tunel się otwiera. Mieszanie tych dwóch decyzji to właśnie powód, dla którego zapisane hasło trafia do profilu, który nadal czeka na dotknięcie.
| Saved or shared secret | Device certificate | |
|---|---|---|
| What the user sees | no prompt while the credential stays valid | no prompt, no password to rotate |
| What the admin manages | the secret in the profile and its distribution | enrollment, expiry and revocation per device |
| Typical failure | gateway demands a second factor | expired or revoked certificate |
Dwa problemy w jednej skardze
Natywna konfiguracja IKEv2 na iPadzie może wskazywać hasło albo certyfikat, a klucz AuthenticationMethod decyduje, który z nich obowiązuje, podczas gdy PayloadCertificateUUID wskazuje poświadczenie dostarczające tożsamość. To, który z nich zaakceptuje brama, jest kwestią polityki serwera, a nie preferencji klienta. Najpierw trzeba więc ustalić, co dopuszcza usługa VPN, ponieważ iPad nie wynegocjuje metody, której druga strona odmawia.
Dopiero potem ma sens rozmowa o tym, kiedy tunel się aktywuje, bo to zupełnie inny zestaw kluczy profilu.
Opcja pierwsza: poświadczenie, które iPad może wykorzystać ponownie
Zapisane hasło konta lub wspólny sekret zadowala bramę, która uwierzytelnia użytkownika lub grupę, i usuwa monit tak długo, jak sekret pozostaje ważny. Słabością jest cykl życia: sekret leży w profilu, kilka urządzeń może go dzielić, a rotacja oznacza dotknięcie każdego profilu, który go zawiera. Jeśli usługa wymaga dodatkowo jednorazowego czynnika lub interaktywnej zgody, żadne lokalne ustawienie nie zamieni tej polityki w logowanie bez nadzoru.
Hasło zapisane przez jedną aplikację nie jest też automatycznie dostępne dla innej implementacji VPN, dlatego to samo konto może przestać pytać w jednym kliencie, a w innym pytać za każdym razem.
Opcja druga: certyfikat urządzenia z własnym kluczem
Certyfikat usuwa monit w mocniejszy sposób, ponieważ iPad dowodzi posiadania klucza prywatnego, zamiast odtwarzać sekret. Wymaga to dostarczenia certyfikatu końcowego i jego klucza zatwierdzoną ścieżką rejestracji oraz tego, aby brama akceptowała uwierzytelnianie certyfikatem dla tego połączenia. Zaimportowanie samego certyfikatu CA daje urządzeniu materiał zaufania i nic więcej, co jest częstym i cichym błędem.
Ceną jest praca nad cyklem życia. Każdy iPad dostaje własną tożsamość, aby zgubione urządzenie można było unieważnić bez ponownego wydawania całej floty, a daty ważności stają się realnymi zdarzeniami operacyjnymi. Certyfikat, który po cichu wygasa, wygląda dokładnie jak awaria VPN w poranek, w którym to nastąpi.
Wybieraj według tego, co akceptuje brama, a nie według preferencji
Zadaj administratorowi VPN dwa pytania: jakie metody uwierzytelniania usługa akceptuje dla tego typu klienta i czy któraś z nich wymaga interaktywnego wprowadzania danych. Jeśli odpowiedź brzmi „tylko certyfikat”, zaplanuj rejestrację i odnawianie. Jeśli brzmi „hasło plus drugi czynnik”, zaakceptuj, że monit jest polityką, i przestań traktować go jak usterkę urządzenia. Jeśli oba są akceptowane, certyfikat wygrywa cyklem życia w nadzorowanej flocie, a hasło nakładem konfiguracji przy kilku urządzeniach.
Zapisz wybraną metodę w rejestrze wdrożenia obok identyfikatora profilu, bo inaczej następna osoba zajmująca się profilem wybierze drugą.
Potem oddziel aktywację od uwierzytelniania
VPN On Demand otwiera tunel, gdy pasuje skonfigurowany warunek, czy to domena DNS, typ interfejsu, czy dołączona sieć, a Apple dokumentuje to jako niewymagające interakcji użytkownika. To dobrze pasuje do prywatnych zasobów, które mają być osiągalne tylko wtedy, gdy coś o nie poprosi. To nie to samo co zarządzany Always On, który utrzymuje egzekwowany zasięg i niesie własne wymagania dotyczące nadzoru i profilu.
Działające poświadczenie niczego tu nie zmienia. Wiele iPadów ma całkiem dobry certyfikat i nadal czeka na ręczne dotknięcie, bo żadna reguła na żądanie nigdy się nie uruchomiła.
Przekaż wymaganie w formie, na której administrator może działać: ten iPad ma osiągać te zasoby bez powtarzalnego udziału użytkownika, z tym typem poświadczenia i według tych reguł aktywacji i awarii. Jeśli obecna usługa nie spełnia tych warunków, powtarzające się monity są polityką działającą zgodnie z projektem.