VPN na iPade bez výziev na heslo: certifikáty verzus uložené prihlásenie
Uložené heslo a certifikát zariadenia odstraňujú výzvu rôznymi spôsobmi. Porovnajte ich a potom samostatne rozhodnite, čo tunel otvorí.
„Prestaň sa ma pýtať na heslo“ v skutočnosti zhŕňa tri požiadavky do jednej sťažnosti a nasadenie na iPade na ne odpovedá na rôznych miestach. Výzva pochádza z overovania, okamih z aktivácie a pokrytie z presadzovania. Najprv vyberte údaj, ktorý výzvu odstráni, a potom samostatne rozhodnite, čo určuje, kedy sa tunel otvorí. Miešanie týchto dvoch rozhodnutí je presne to, ako skončíte s uloženým heslom v profile, ktorý napriek tomu čaká na kliknutie.
| Saved or shared secret | Device certificate | |
|---|---|---|
| What the user sees | no prompt while the credential stays valid | no prompt, no password to rotate |
| What the admin manages | the secret in the profile and its distribution | enrollment, expiry and revocation per device |
| Typical failure | gateway demands a second factor | expired or revoked certificate |
Dva problémy v jednej sťažnosti
Natívna konfigurácia IKEv2 na iPade môže odkazovať na heslo alebo certifikát a kľúč AuthenticationMethod rozhoduje, ktorý z nich platí, zatiaľ čo PayloadCertificateUUID pomenúva údaj, ktorý dodáva identitu. Ktorý z nich brána prijme, je otázka politiky servera, nie preferencie klienta. Najprv je teda potrebné zistiť, čo služba VPN povoľuje, pretože iPad sa nedokáže vyjednať na metódu, ktorú druhá strana odmieta.
Až potom má zmysel hovoriť o tom, kedy sa tunel aktivuje, čo je úplne iná sada kľúčov profilu.
Možnosť jedna: údaj, ktorý iPad môže znova použiť
Uložené heslo účtu alebo zdieľané tajomstvo uspokojí bránu, ktorá overuje používateľa alebo skupinu, a odstráni výzvu, kým tajomstvo zostáva platné. Jeho slabinou je životný cyklus: tajomstvo leží v profile, môže ho zdieľať niekoľko zariadení a jeho rotácia znamená siahnuť na každý profil, ktorý ho nesie. Ak služba navyše vyžaduje jednorazový faktor alebo interaktívne schválenie, žiadne miestne nastavenie z tejto politiky neurobí prihlásenie bez dozoru.
Heslo uložené jednou aplikáciou tiež nie je automaticky dostupné inej implementácii VPN, a preto ten istý účet môže prestať žiadať v jednom klientovi a v inom sa pýtať zakaždým.
Možnosť dva: certifikát zariadenia s vlastným kľúčom
Certifikát odstraňuje výzvu silnejšie, pretože iPad preukazuje držanie súkromného kľúča namiesto prehratia tajomstva. To vyžaduje aby koncový certifikát a jeho kľúč dorazili schválenou cestou registrácie a aby brána pre toto spojenie prijala overovanie certifikátom. Import samotného certifikátu CA dá zariadeniu dôveryhodný materiál a nič viac, čo je častá a tichá chyba.
Cenou je práca so životným cyklom. Každý iPad dostane vlastnú identitu, takže stratené zariadenie možno odvolať bez opätovného vydania celej flotily, a dátumy vypršania sa stávajú skutočnými prevádzkovými udalosťami. Certifikát, ktorý ticho vyprší, vyzerá presne ako výpadok VPN ráno, keď k tomu dôjde.
Vyberajte podľa toho, čo brána prijíma, nie podľa preferencií
Položte správcovi VPN dve otázky: ktoré metódy overovania služba pre tento typ klienta prijíma a či niektorá z nich vyžaduje interaktívny vstup. Ak je odpoveď iba certifikát, naplánujte registráciu a obnovu. Ak je odpoveď heslo plus druhý faktor, prijmite, že výzva je politika, a prestaňte ju považovať za poruchu zariadenia. Ak sú prijímané obe, certifikát víťazí v životnom cykle pri sledovanej flotile a heslo v náročnosti nastavenia pri hŕstke zariadení.
Zapíšte zvolenú metódu do záznamu o nasadení vedľa identifikátora profilu, pretože inak nasledujúci človek, ktorý na profil siahnu, zvolí tú druhú.
Potom oddeľte aktiváciu od overovania
VPN On Demand otvára tunel, keď zodpovedá nakonfigurovaná podmienka, či už ide o doménu DNS, typ rozhrania alebo pripojenú sieť, a Apple to dokumentuje ako nevyžadujúce žiadnu interakciu používateľa. Hodí sa to pre súkromné prostriedky, ktoré majú byť dostupné len vtedy, keď o ne niečo požiada. Nie je to to isté ako spravované Always On, ktoré udržuje pokrytie presadené a prináša vlastné požiadavky na dohľad a profil.
Fungujúci údaj pre ani jedno nič neurobí. Mnoho iPadov má úplne dobrý certifikát a napriek tomu čaká na ručné kliknutie, pretože sa nikdy nespustilo žiadne pravidlo na požiadanie.
Odovzdajte požiadavku vo forme, s ktorou správca môže pracovať: tento iPad má dosiahnuť tieto prostriedky bez opakovaného vstupu používateľa, s týmto typom údaja a podľa týchto pravidiel aktivácie a výpadku. Ak súčasná služba tieto podmienky nespĺňa, opakované výzvy sú politika fungujúca podľa návrhu.