VPN në iPad pa kërkesa për fjalëkalim: certifikata ose hyrje e ruajtur
Një fjalëkalim i ruajtur dhe një certifikatë pajisjeje e heqin kërkesën në mënyra të ndryshme. Krahasoni të dyja, pastaj vendosni veçmas se çfarë hap tunelin.
«Ndalo së më kërkuari fjalëkalim» në fakt bashkon tre kërkesa në një ankesë, dhe një vendosje në iPad u përgjigjet atyre në vende të ndryshme. Kërkesa vjen nga vërtetimi, koha nga aktivizimi dhe mbulimi nga zbatimi i detyrueshëm. Së pari zgjidhni kredencialin që heq kërkesën, pastaj vendosni veçmas se çfarë përcakton kur hapet tuneli. Përzierja e këtyre dy vendimeve është pikërisht arsyeja pse një fjalëkalim i ruajtur përfundon në një profil që ende pret një prekje.
| Saved or shared secret | Device certificate | |
|---|---|---|
| What the user sees | no prompt while the credential stays valid | no prompt, no password to rotate |
| What the admin manages | the secret in the profile and its distribution | enrollment, expiry and revocation per device |
| Typical failure | gateway demands a second factor | expired or revoked certificate |
Dy probleme në një ankesë
Një konfigurim vendas IKEv2 në iPad mund t'i referohet fjalëkalimit ose certifikatës, dhe çelësi AuthenticationMethod vendos cila vlen, ndërsa PayloadCertificateUUID emërton kredencialin që jep identitetin. Cilën prej tyre do të pranojë porta është çështje politike serveri, jo preferencë e klientit. Prandaj së pari duhet përcaktuar se çfarë lejon shërbimi VPN, sepse iPad nuk mund të negociojë drejt një metode që pala tjetër e refuzon.
Vetëm pas kësaj ka kuptim të flitet për kur aktivizohet tuneli, që është një grup krejt tjetër çelësash profili.
Opsioni i parë: një kredencial që iPad mund të ripërdorë
Një fjalëkalim llogarie i ruajtur ose një sekret i përbashkët kënaq një portë që vërteton përdoruesin ose grupin, dhe e heq kërkesën për sa kohë sekreti mbetet i vlefshëm. Dobësia e tij është cikli i jetës: sekreti qëndron në profil, disa pajisje mund ta ndajnë atë, dhe rrotullimi i tij do të thotë të prekësh çdo profil që e mban. Nëse shërbimi kërkon gjithashtu një faktor njëherësh ose një miratim interaktiv, asnjë rregullim lokal nuk e kthen atë politikë në një hyrje pa mbikëqyrje.
Një fjalëkalim i ruajtur nga një aplikacion gjithashtu nuk është automatikisht i disponueshëm për një implementim tjetër të VPN, prandaj i njëjti llogari mund të ndalojë së kërkuari në një klient dhe të kërkojë çdo herë në një tjetër.
Opsioni i dytë: një certifikatë pajisjeje me çelësin e vet
Një certifikatë e heq kërkesën në një mënyrë më të fortë, sepse iPad vërteton zotërimin e një çelësi privat në vend që të përsëritë një sekret. Kjo kërkon që certifikata e gjethes dhe çelësi i saj të vijnë përmes rrugës së regjistrimit të miratuar, dhe që porta të pranojë vërtetimin me certifikatë për atë lidhje. Importimi vetëm i një certifikate CA i jep pajisjes material besimi dhe asgjë tjetër, që është një dështim i zakonshëm dhe i heshtur.
Çmimi është puna e ciklit të jetës. Çdo iPad merr identitetin e vet, në mënyrë që një pajisje e humbur të revokohet pa ri-lëshuar të gjithë flotën, dhe datat e skadimit bëhen ngjarje reale operacionale. Një certifikatë që skadon në heshtje duket saktësisht si një ndërprerje VPN në mëngjesin kur ndodh.
Zgjidhni sipas asaj që pranon porta, jo sipas preferencës
Pyetni administratorin e VPN dy gjëra: cilat metoda vërtetimi pranon shërbimi për këtë lloj klienti, dhe nëse ndonjëra prej tyre kërkon input interaktiv. Nëse përgjigjja është vetëm certifikatë, planifikoni regjistrimin dhe rinovimin. Nëse përgjigjja është fjalëkalim plus një faktor i dytë, pranoni që kërkesa është politikë dhe ndaloni ta trajtoni si defekt i pajisjes. Nëse të dyja pranohen, certifikata fiton në ciklin e jetës për një flotë të mbikëqyrur dhe fjalëkalimi fiton në përpjekjen e konfigurimit për disa pajisje.
Shkruani metodën e zgjedhur në regjistrin e vendosjes pranë identifikuesit të profilit, përndryshe personi tjetër që prek profilin do të zgjedhë tjetrën.
Pastaj ndani aktivizimin nga vërtetimi
VPN On Demand hap tunelin kur përputhet një kusht i konfiguruar, qoftë domain DNS, lloj ndërfaqeje apo rrjet i bashkuar, dhe Apple e dokumenton si diçka që nuk kërkon ndërveprim të përdoruesit. Kjo përshtatet për burimet private që duhet të bëhen të aksesueshme vetëm kur diçka i kërkon ato. Nuk është e njëjta gjë si Always On i menaxhuar, që e mban mbulimin të zbatuar dhe vjen me kërkesat e veta të mbikëqyrjes dhe profilit.
Një kredencial që funksionon nuk bën asgjë për asnjërën. Shumë iPad kanë një certifikatë plotësisht të mirë dhe prapë presin një prekje manuale, sepse asnjë rregull sipas kërkesës nuk u aktivizua kurrë.
Dorëzoni kërkesën në një formë mbi të cilën një administrator mund të veprojë: ky iPad duhet t'i arrijë këto burime pa input të përsëritur të përdoruesit, me këtë lloj kredenciali dhe sipas këtyre rregullave të aktivizimit dhe të ndërprerjes. Nëse shërbimi aktual nuk mund t'i plotësojë ato kushte, kërkesat e përsëritura janë politika që funksionon siç është projektuar.