VPN на iPad-у без захтева за лозинку: сертификати или сачувана пријава
Сачувана лозинка и сертификат уређаја уклањају захтев на различите начине. Упоредите их и затим одвојено одлучите шта отвара тунел.
„Престаните да ме питате за лозинку“ заправо спаја три захтева у једну жалбу, а увођење на iPad-у одговара на њих на различитим местима. Захтев долази из провере идентитета, тренутак из активације, а покривеност из спровођења. Прво изаберите податак за пријаву који уклања захтев, а затим одвојено одлучите шта одређује када се тунел отвара. Мешање те две одлуке управо је разлог зашто сачувана лозинка заврши у профилу који и даље чека додир.
| Saved or shared secret | Device certificate | |
|---|---|---|
| What the user sees | no prompt while the credential stays valid | no prompt, no password to rotate |
| What the admin manages | the secret in the profile and its distribution | enrollment, expiry and revocation per device |
| Typical failure | gateway demands a second factor | expired or revoked certificate |
Два проблема у једној жалби
Изворна IKEv2 конфигурација на iPad-у може да упућује на лозинку или сертификат, а кључ AuthenticationMethod одлучује које од тога важи, док PayloadCertificateUUID именује податак за пријаву који даје идентитет. Које ће од тога мрежни пролаз прихватити јесте питање серверске политике, а не склоности клијента. Зато најпре треба утврдити шта VPN услуга дозвољава, јер iPad не може да се избори за метод који друга страна одбија.
Тек након тога има смисла говорити о томе када се тунел активира, а то је сасвим други скуп кључева профила.
Прва опција: подаци за пријаву које iPad може поново да употреби
Сачувана лозинка налога или заједничка тајна задовољава мрежни пролаз који проверава корисника или групу и уклања захтев док год тајна остаје важећа. Слабост је животни циклус: тајна стоји у профилу, неколико уређаја може да је дели, а ротација значи дирати сваки профил који је носи. Ако услуга тражи и једнократни фактор или интерактивно одобрење, ниједна локална поставка ту политику не претвара у пријаву без надзора.
Лозинка коју сачува једна апликација такође није аутоматски доступна другој VPN имплементацији, због чега исти налог може да престане да пита у једном клијенту, а у другом да пита сваки пут.
Друга опција: сертификат уређаја са сопственим кључем
Сертификат уклања захтев на јачи начин, јер iPad доказује поседовање приватног кључа уместо да понови тајну. То захтева да лисни сертификат и његов кључ стигну одобреним путем уписа и да мрежни пролаз за ту везу прихвати проверу идентитета сертификатом. Увоз само CA сертификата даје уређају материјал поверења и ништа више, што је честа и тиха грешка.
Цена је рад на животном циклусу. Сваки iPad добија сопствени идентитет како би изгубљени уређај могао да се опозове без поновног издавања целе флоте, а датуми истека постају стварни оперативни догађаји. Сертификат који тихо истекне изгледа тачно као испад VPN-а оног јутра када се то догоди.
Изаберите према ономе што прихвата мрежни пролаз, а не према склоности
Поставите VPN администратору два питања: које методе провере идентитета услуга прихвата за ову врсту клијента и да ли нека од њих захтева интерактивни унос. Ако је одговор само сертификат, планирајте упис и обнову. Ако је одговор лозинка плус други фактор, прихватите да је захтев политика и престаните да га третирате као квар уређаја. Ако су прихваћена оба, сертификат побеђује у животном циклусу за надзирану флоту, а лозинка у труду око постављања за неколико уређаја.
Упишите изабрани метод у запис о увођењу поред идентификатора профила, јер ће иначе следећа особа која дира профил изабрати други.
Затим одвојите активацију од провере идентитета
VPN On Demand отвара тунел када се испуни подешени услов, било да је то DNS домен, тип интерфејса или придружена мрежа, а Apple то документује као нешто што не захтева корисничку интеракцију. То добро одговара приватним ресурсима који треба да постану доступни само када их нешто затражи. Није исто као управљани Always On, који држи покривеност спроведеном и носи сопствене захтеве за надзор и профил.
Исправан податак за пријаву не помаже ни у једном од та два случаја. Многи iPad уређаји имају сасвим добар сертификат и ипак чекају ручни додир јер се никада није активирало ниједно правило на захтев.
Предајте захтев у облику на који администратор може да делује: овај iPad треба да достигне те ресурсе без понављајућег корисничког уноса, са овом врстом податка за пријаву и према тим правилима активације и испада. Ако садашња услуга не може да испуни те услове, понављајући захтеви су политика која ради како је замишљена.