Czy iPhone może ponownie użyć profilu OpenVPN z twojego Maca?

Jedno działające połączenie z Maca nie jest szablonem dla telefonu, nawet gdy oba używają tego samego konta i tego samego serwera. Profil na Maca może trzymać certyfikaty w osobnych plikach, używać dyrektyw, które mają sens tylko na komputerze, i opierać się na tożsamości wydanej przez operatora tylko dla tej maszyny. Telefon potrzebuje własnego pakietu, własnej tożsamości i własnej ścieżki importu. Oddzielenie kwestii polityki od kwestii pakowania to większość pracy.

Zapytaj operatora o dwie rzeczy, zanim cokolwiek skopiujesz: czy konto może działać na więcej niż jednym urządzeniu i czy telefon ma dostać własny certyfikat.

Ponowne użycie to najpierw kwestia polityki, a dopiero potem techniki

Certyfikat klienta to tożsamość, a umieszczenie jednej tożsamości na dwóch urządzeniach oznacza, że serwer nie potrafi ich rozróżnić w logach, w regułach dostępu ani przy unieważnieniu. Niektóre wdrożenia to akceptują i wprost zezwalają na zduplikowane nazwy wspólne; większość nie, a drugie urządzenie zostaje odrzucone albo wyłącza pierwsze. Wspólna nazwa użytkownika i hasło nie czynią wspólnego certyfikatu właściwym. Uzyskaj pisemną odpowiedź operatora, zanim zaplanujesz jakikolwiek transfer.

Strona audytu liczy się tak samo. Jeśli telefon zginie, unieważnienie certyfikatu, którego używa też Mac, odłącza oba urządzenia, a pozostawienie go ważnym zostawia telefon z działającym dostępem do VPN. Certyfikat na urządzenie zamienia reakcję na utratę w jedno unieważnienie i dokładnie dlatego istnieje dodatkowy krok rejestracji.

Profil na Maca i profil telefonu różnią się w praktyce

Na komputerze plik .ovpn może leżeć obok CA, certyfikatu i klucza w osobnych plikach i może nieść haki, skrypty i ścieżki, które mają sens tylko w tym systemie operacyjnym. Klient mobilny zwykle chce te części wbudowane albo dostarczone przez pakiet PKCS#12 z hasłem, a dyrektywy, których nie może spełnić, ignoruje lub odrzuca. Kopiowanie pliku z Maca często daje import, który się nie udaje, albo taki, który łączy się z połową brakujących opcji. Rozwiązaniem jest utrzymywany mobilny pakiet od operatora, a nie ręcznie edytowany plik z usuniętymi niewygodnymi liniami.

Traktuj każdy plik z kluczem prywatnym jako poświadczenie, a nie konfigurację. Pobierania profili przechodzą chronionymi kanałami właśnie dlatego, a kopia zostawiona w wątku czatu lub folderze pobierania jest żywym sekretem o przyjaznej nazwie pliku.

Importuj przez własny przepływ telefonu

Zainstaluj oficjalną aplikację OpenVPN Connect, a następnie wprowadź profil przez jej przepływ importu, jako plik albo jako URL połączenia podany przez operatora. Na telefonie niezarządzanym aplikacja prosi o zgodę na dodanie konfiguracji VPN, co jest krokiem potwierdzenia samego systemu. Podążaj za monitami konta i MFA tak, jak się pojawiają, zamiast wypełniać z góry wartościami pożyczonymi z Maca. Jeśli import się powiedzie, a połączenie nie, problem leży w zawartości profilu, a nie w transferze.

Na telefonie zarządzanym administrator może ograniczyć import lub edycję profilu kanałem zarządzania urządzeniami mobilnymi. Ograniczona aplikacja nie jest łamigłówką do pokonania; użyj ścieżki rejestracji administratora, bo ta ścieżka rządzi też tym, co dzieje się przy wymianie telefonu.

Udowodnij telefon niezależnie

Otwórz prywatny zasób z telefonu przez dane komórkowe z wyłączonym Wi-Fi, żeby żądanie nie mogło po cichu pójść inną drogą. To, że Mac pozostaje połączony, nie dowodzi niczego o trasach, DNS ani akceptacji poświadczeń telefonu. Następnie porównaj oba urządzenia: wewnętrzna nazwa hosta, która rozwiązuje się na Macu i zawodzi na telefonie, wskazuje na różne ustawienia DNS w obu pakietach. Zapisz nazwę profilu, tożsamość urządzenia i to, kto je zarejestrował.

Gdy coś zawiedzie, zachowaj dokładny komunikat i wersję aplikacji. Błąd importu i błąd połączenia pochodzą z różnych warstw, a ich scalenie w jednym raporcie marnuje całą rundę. Profil, który importuje się czysto, dowodzi tylko, że plik został przetworzony.

Po rejestracji usuń kopie transferowe zgodnie z polityką przechowywania i udokumentuj ścieżkę ponownej rejestracji. Telefon zastępczy powinien dostać nową tożsamość, a nie kopię starej.