VPN på iPad utan lösenordsfrågor: certifikat eller sparad inloggning
Ett sparat lösenord och ett enhetscertifikat tar bort frågan på olika sätt. Jämför dem och välj sedan separat vad som öppnar tunneln.
”Sluta fråga mig efter ett lösenord” är egentligen tre krav samlade i ett enda klagomål, och en iPad-distribution besvarar dem på olika ställen. Frågan kommer från autentiseringen, tidpunkten kommer från aktiveringen och täckningen kommer från efterlevnaden. Välj den inloggningsuppgift som tar bort frågan och bestäm sedan separat vad som avgör när tunneln öppnas. Att blanda de två besluten är precis hur man hamnar med ett sparat lösenord på en profil som fortfarande väntar på en tryckning.
| Saved or shared secret | Device certificate | |
|---|---|---|
| What the user sees | no prompt while the credential stays valid | no prompt, no password to rotate |
| What the admin manages | the secret in the profile and its distribution | enrollment, expiry and revocation per device |
| Typical failure | gateway demands a second factor | expired or revoked certificate |
Två problem i ett enda klagomål
En inbyggd IKEv2-konfiguration på iPad kan referera till ett lösenord eller ett certifikat, och nyckeln AuthenticationMethod avgör vilket som gäller, medan PayloadCertificateUUID namnger den inloggningsuppgift som levererar identiteten. Vilket av dem gatewayen accepterar är en fråga om serverprincip och inte om klientens tycke. Det första att fastställa är alltså vad VPN-tjänsten tillåter, eftersom en iPad inte kan förhandla sig fram till en metod som andra änden avvisar.
Först därefter är det meningsfullt att tala om när tunneln aktiveras, vilket är en helt annan uppsättning profilnycklar.
Alternativ ett: en inloggningsuppgift som iPad kan återanvända
Ett sparat kontolösenord eller en delad hemlighet uppfyller en gateway som autentiserar användaren eller gruppen, och det tar bort frågan så länge hemligheten är giltig. Svagheten är livscykeln: hemligheten ligger i profilen, flera enheter kan dela den, och rotation innebär att röra varje profil som bär den. Om tjänsten också kräver en engångsfaktor eller ett interaktivt godkännande gör ingen lokal inställning den principen till en obevakad inloggning.
Ett lösenord som sparats av en app är inte heller automatiskt tillgängligt för en annan VPN-implementering, och det är därför samma konto kan sluta fråga i en klient och fråga varje gång i en annan.
Alternativ två: ett enhetscertifikat med egen nyckel
Ett certifikat tar bort frågan på ett starkare sätt, eftersom iPad bevisar innehav av en privat nyckel i stället för att upprepa en hemlighet. Det kräver att lövcertifikatet och dess nyckel kommer in via den godkända registreringsvägen, och att gatewayen accepterar certifikatautentisering för den anslutningen. Att bara importera ett CA-certifikat ger enheten förtroendematerial och inget annat, vilket är ett vanligt och tyst fel.
Priset är livscykelarbete. Varje iPad får sin egen identitet så att en förlorad enhet kan återkallas utan att hela flottan utfärdas på nytt, och utgångsdatum blir verkliga driftsevenemang. Ett certifikat som tyst löper ut ser exakt ut som ett VPN-avbrott morgonen det händer.
Välj efter vad gatewayen accepterar, inte efter tycke
Ställ två frågor till VPN-administratören: vilka autentiseringsmetoder tjänsten accepterar för den här klienttypen, och om någon av dem kräver interaktiv inmatning. Är svaret enbart certifikat, planera registrering och förnyelse. Är svaret lösenord plus en andra faktor, acceptera att frågan är policy och sluta behandla den som ett enhetsfel. Om båda accepteras vinner certifikatet på livscykel för en övervakad flotta och lösenordet på installationsarbete för en handfull enheter.
Skriv den valda metoden i distributionsregistret bredvid profilidentifieraren, annars väljer nästa person som rör profilen den andra.
Separera sedan aktivering från autentisering
VPN On Demand öppnar tunneln när ett konfigurerat villkor matchar, vare sig det är en DNS-domän, en gränssnittstyp eller ett anslutet nätverk, och Apple dokumenterar det som att det inte kräver någon användarinteraktion. Det passar bra för privata resurser som bara ska bli nåbara när något ber om dem. Det är inte samma sak som hanterad Always On, som håller täckningen genomdriven och kommer med egna krav på övervakning och profiler.
En fungerande inloggningsuppgift gör ingen nytta i något av fallen. Många iPads har ett fullt giltigt certifikat och väntar ändå på en manuell tryckning eftersom ingen on-demand-regel någonsin utlöstes.
Lämna över kravet i en form som en administratör kan agera på: den här iPaden ska nå dessa resurser utan återkommande användarinmatning, med den här typen av inloggningsuppgift och under dessa aktiverings- och avbrottsregler. Om den nuvarande tjänsten inte kan uppfylla villkoren är upprepade frågor policyn som fungerar som avsett.