Ați trimis un singur profil VPN tuturor și acesta conține parola dumneavoastră

Profilul se instalează curat, toată lumea se conectează, iar apoi parola contului este schimbată. Fiecare dispozitiv care a primit fișierul încetează autentificarea în același minut, pentru că toate poartă același secret. Acesta este semnalul: o singură acreditare copiată într-un artefact partajat transformă o schimbare de rutină a parolei într-o pană la nivelul întregii flote. Păstrarea configurației reutilizabile și a identității individuale ca două predări separate evită acest lucru, iar documentația de administrare a dispozitivelor proprie Apple tratează profilurile ca setări și autorizare, nu ca depozit de secrete.

Simptomul apare la prima rotație

Un fișier mobileconfig este XML sau un plist semnat. Oricine are o copie poate decoda conținutul și citi ce se află în el, așa că o valoare AuthPassword într-un șablon este o acreditare în text clar cu o extensie de fișier neobișnuită. Semnarea schimbă integritatea și originea, nu lizibilitatea. Între timp, părțile pe care chiar vreți să le partajați, cum ar fi adresa gateway-ului, identitatea așteptată a serverului și politica de trafic, sunt identice pentru toată lumea.

Sortați câmpurile înainte de a edita ceva, pentru că granița nu este acolo unde oamenii presupun.

Separați setările partajate de acreditările individuale

Calea interactivă este să lăsați parola în afara și să permiteți schemei de autentificare acceptate să o ceară. Citiți cu atenție: ștergerea unui câmp care doar pare similar nu este o conversie universală la autentificarea interactivă. Sarcina utilă IKEv2 distinge AuthName de AuthPassword, iar metoda de autentificare decide dacă o cerere este măcar accesibilă; o metodă bazată pe certificat nu va cere deloc o parolă.

Nici certificatele nu au nevoie de o cheie partajată

Dacă gateway-ul așteaptă autentificare prin certificat, înregistrați identitatea de utilizator sau de dispozitiv prevăzută prin mecanismul aprobat și țineți cheia privată în afara șablonului. O cheie privată partajată în fiecare copie vă dă aceeași problemă de rotație cu o rază de impact mai rea, pentru că o cheie nu poate fi revocată per persoană dacă nu a fost emisă per persoană.

Înregistrați emiterea, reînnoirea și revocarea acelei identități alături de revizia profilului. Când ambele sunt urmărite împreună, o reînnoire este o sarcină programată, nu un incident.

Mașinile nesupravegheate au nevoie de un al treilea răspuns

O mașină care trebuie să se conecteze înainte ca cineva să se autentifice nu poate răspunde unei cereri. Aceasta este o cerință diferită de a face configurarea mai ușoară pentru o persoană autentificată și ar trebui rezolvată cu o identitate gestionată sau un certificat per dispozitiv convenit cu proprietarul gateway-ului, nu prin stocarea unei parole umane într-un profil.

Stocarea unei parole nu elimină nici un al doilea factor. Dacă gateway-ul cere MFA, un profil cu parola salvată eșuează în continuare la pornire, iar eșecul arată ca un profil stricat, nu ca un factor lipsă.

Verificați artefactul care a fost generat de fapt

Șabloanele mint prin omisiune. Un serviciu de administrare sau un instrument de export poate injecta acreditări în fișierul final, iar sarcinile utile de identitate sau copiile de diagnostic care îl însoțesc pot transporta material pe care șablonul nu l-a arătat niciodată. Deschideți artefactul generat înainte de a decide cine îl poate primi. Păstrați intacte și setările de emitent de încredere și identitate așteptată a serverului; eliminarea unei parole nu este un motiv pentru a slăbi încrederea în gateway.

Dacă o parolă reală sau o identitate privată a circulat deja prea larg, revocați-o la emitent și înlocuiți-o. Editarea șablonului de mâine nu face nimic pentru copiile deja instalate, iar acele copii vor continua să se autentifice până când acreditarea din spatele lor este retrasă.

Acceptați predarea cu o identitate de test

Instalați prin fluxul aprobat pe un dispozitiv înregistrat ca identitate de test separată, finalizați autentificarea prevăzută și ajungeți la resursa privată în loc să priviți doar cum se ridică tunelul. Confirmați că profilul nu conține material de acreditare, apoi confirmați că acreditarea există în înregistrarea de identitate care va fi reînnoită. Această pereche este testul de acceptare.

O revizie pentru setările partajate, o înregistrare pe persoană și o cale de revocare pe care ați folosit-o cu adevărat o dată.