VPN na iPadu brez pozivov za geslo: potrdila ali shranjena prijava

„Nehajte me spraševati za geslo“ v resnici združuje tri zahteve v eni pritožbi, uvajanje na iPadu pa nanje odgovarja na različnih mestih. Poziv izhaja iz preverjanja pristnosti, čas iz aktivacije, pokritost pa iz uveljavljanja. Najprej izberite poverilnico, ki odpravi poziv, nato pa ločeno določite, kaj odloči, kdaj se tunel odpre. Mešanje teh dveh odločitev je točno to, zaradi česar shranjeno geslo pristane v profilu, ki še vedno čaka na dotik.

Dve težavi v eni pritožbi

Izvorna konfiguracija IKEv2 na iPadu se lahko sklicuje na geslo ali potrdilo, ključ AuthenticationMethod pa odloči, katero velja, medtem ko PayloadCertificateUUID poimenuje poverilnico, ki zagotovi identiteto. Katero od tega bo prehod sprejel, je vprašanje strežniške politike in ne želje odjemalca. Najprej je torej treba ugotoviti, kaj storitev VPN dovoljuje, ker se iPad ne more dogovoriti za metodo, ki jo drugi konec zavrača.

Šele nato je smiselno govoriti o tem, kdaj se tunel aktivira, kar je povsem drugačen nabor profilnih ključev.

Prva možnost: poverilnica, ki jo iPad lahko znova uporabi

Shranjeno geslo računa ali skupna skrivnost zadovolji prehod, ki preverja uporabnika ali skupino, in odpravi poziv, dokler skrivnost ostane veljavna. Njena slabost je življenjski cikel: skrivnost je v profilu, več naprav si jo lahko deli, menjava pa pomeni poseg v vsak profil, ki jo nosi. Če storitev zahteva še enkratni dejavnik ali interaktivno odobritev, nobena lokalna nastavitev te politike ne spremeni v nenadzorovano prijavo.

Geslo, ki ga shrani ena aplikacija, tudi ni samodejno na voljo drugi izvedbi VPN, zato lahko isti račun v enem odjemalcu preneha spraševati, v drugem pa sprašuje vsakič.

Druga možnost: potrdilo naprave z lastnim ključem

Potrdilo odpravi poziv na močnejši način, ker iPad dokaže posedovanje zasebnega ključa, namesto da bi ponovil skrivnost. To zahteva da končno potrdilo in njegov ključ prideta po odobreni poti vpisa in da prehod za to povezavo sprejme preverjanje pristnosti s potrdilom. Če uvozite samo potrdilo CA, naprava dobi gradivo zaupanja in nič drugega, kar je pogosta in tiha napaka.

Cena je delo z življenjskim ciklom. Vsak iPad dobi svojo identiteto, da je izgubljeno napravo mogoče preklicati brez ponovne izdaje celotne flote, datumi poteka pa postanejo resnični obratovalni dogodki. Potrdilo, ki tiho poteče, je videti natanko kot izpad VPN tistega jutra, ko se zgodi.

Izberite po tem, kaj sprejme prehod, ne po naklonjenosti

Skrbniku VPN zastavite dve vprašanji: katere metode preverjanja pristnosti storitev sprejema za to vrsto odjemalca in ali katera od njih zahteva interaktivni vnos. Če je odgovor samo potrdilo, načrtujte vpis in obnavljanje. Če je odgovor geslo in drugi dejavnik, sprejmite, da je poziv politika, in ga prenehajte obravnavati kot napako naprave. Če sta sprejeta oba, potrdilo zmaga pri življenjskem ciklu za nadzorovano floto, geslo pa pri trudu za namestitev za peščico naprav.

Izbrano metodo zapišite v evidenco uvajanja poleg identifikatorja profila, sicer bo naslednja oseba, ki se dotakne profila, izbrala drugo.

Nato ločite aktivacijo od preverjanja pristnosti

VPN On Demand odpre tunel, ko se ujema nastavljeni pogoj, naj bo to domena DNS, vrsta vmesnika ali pridruženo omrežje, in Apple to dokumentira kot nekaj, kar ne zahteva uporabnikovega posredovanja. To dobro ustreza zasebnim virom, ki naj bodo dostopni le, ko jih nekaj zahteva. Ni isto kot upravljani Always On, ki ohranja pokritost uveljavljeno in prinaša lastne zahteve glede nadzora in profila.

Delujoča poverilnica ne pomaga pri nobenem od obeh. Veliko iPadov ima povsem dobro potrdilo in vseeno čaka na ročni dotik, ker se ni nikoli sprožilo nobeno pravilo na zahtevo.

Zahtevo predajte v obliki, na katero lahko skrbnik ukrepa: ta iPad mora doseči te vire brez ponavljajočega se uporabnikovega vnosa, s to vrsto poverilnice in po teh pravilih aktivacije in izpada. Če sedanja storitev teh pogojev ne more izpolniti, so ponavljajoči se pozivi politika, ki deluje po načrtu.