iPad ต้องมีใบรับรองไคลเอนต์ VPN ของตัวเองหรือไม่

iPad เครื่องใหม่เข้าร่วมทีม และวิธีที่เร็วที่สุดคือการส่งออกใบรับรองไคลเอนต์ที่มีอยู่แล้วติดตั้งบนแท็บเล็ต วิธีนี้ใช้ได้จนกว่าจะมีคนลาออก ทำอุปกรณ์หาย หรือขอตรวจสอบว่าเครื่องใดเชื่อมต่อเมื่อใด การตัดสินใจไม่ใช่เรื่องไฟล์ใบรับรองแต่เป็นเรื่องตัวตนว่าแต่ละเครื่องได้รับการอนุญาตและเพิกถอนแยกกันได้หรือไม่ ต้นทุนและภาระการจัดการเป็นตัวกำหนดคำตอบ และทั้งสองอย่างเล็กกว่าที่เห็น

ผู้ออกเดียวกัน ตัวตนแยกกัน

ทุกอุปกรณ์ไว้วางใจผู้ออกใบรับรองเดียวกันและเชื่อมต่อผ่านเกตเวย์เดียวกันได้ ขณะที่มีตัวตนไคลเอนต์ต่างกัน ผู้ออกคือสมอของความไว้วางใจ ส่วนตัวตนคือคู่กุญแจที่เซิร์ฟเวอร์จับคู่ชื่อเรื่องกับนโยบาย การหลอมสองสิ่งนี้เข้าด้วยกันคือสิ่งที่ทำให้ใบรับรองร่วมดูไม่มีพิษภัย มันยังไม่มีพิษภัยจนกว่าจะมีคนต้องรู้ว่าเครื่องใดเปิดเซสชัน

การแบ่งปันผู้ออกช่วยประหยัดงานตั้งค่าและไม่เปลี่ยนอะไรในการรับผิดชอบรายเครื่อง การแบ่งปันตัวตนรวมทุกเครื่องเป็นหน่วยเดียวที่เพิกถอนได้ การเพิกถอนหนึ่งจึงเพิกถอนทั้งหมด และการอนุญาตเครื่องทดแทนก็อนุญาตสำเนากุญแจทุกชุดที่เคยทำขึ้น การแลกเปลี่ยนนี้ควรทำอย่างชัดเจนแทนการคัดลอกไฟล์เพียงเพราะวันศุกร์บ่ายทำได้เร็วกว่า

เมื่อใบรับรองใบที่สองแพงเกินไป

การลงทะเบียนรายเครื่องมีค่าใช้จ่ายหนึ่งขั้นตอน คือโปรไฟล์ที่จัดการได้ คำขอ SCEP หรือการนำเข้าที่มีคำแนะนำพร้อมรหัสผ่านใช้ครั้งเดียว ยังต้องมีที่สำหรับติดตามหมายเลขซีเรียลและวันหมดอายุ ซึ่งเป็นส่วนที่การติดตั้งส่วนใหญ่มักลืมจนกว่าใบรับรองแรกจะหมดอายุ ค่าใช้จ่ายทั้งสองเป็นครั้งเดียว และทั้งสองลดลงเมื่อกระบวนการลงทะเบียนทำงานอัตโนมัติ

ค่าใช้จ่ายนี้เป็นจริงสำหรับบ้านที่มีแท็บเล็ตสองเครื่องและผู้ใช้หนึ่งคน ซึ่งตัวตนร่วมเป็นการตัดสินใจที่สมเหตุสมผลและบันทึกไว้ในประโยคเดียว แต่ไม่สมเหตุสมผลสำหรับบริการที่ต้องถอนสิทธิ์เป็นรายบุคคลหรือรายเครื่อง เพราะเรื่องราวการเพิกถอนคือเหตุผลทั้งหมดที่ใช้ใบรับรองแทนรหัสผ่าน ควรประเมินการติดตั้งจากความถี่ที่เครื่องเปลี่ยนมือ ไม่ใช่จากจำนวนเครื่องที่มีวันนี้

ลงทะเบียนเครื่อง อย่าคัดลอกกุญแจ

แพลตฟอร์มสมัยใหม่เก็บกุญแจส่วนตัวไว้ในที่จัดเก็บที่ได้รับการป้องกัน และบางแห่งทำเครื่องหมายว่าไม่สามารถส่งออกได้โดยการออกแบบ คุณสมบัตินี้เองที่ทำให้การคัดลอกเป็นไปไม่ได้ตั้งแต่แรก และเป็นเหตุผลว่าทำไมชุดที่ส่งออกจากแล็ปท็อปจึงนำกลับเข้าแท็บเล็ตไม่ได้ด้วยวิธีที่รองรับใด ๆ การลองทำก็ยังได้โปรไฟล์ที่ติดตั้งเรียบร้อยแล้วไม่เคยพิสูจน์ตัวตน

ใช้วิธีการลงทะเบียนที่การติดตั้งรองรับอยู่แล้ว คือโปรไฟล์ตัวตนที่จัดการได้ บริการ SCEP หรือขั้นตอนที่อิงบัญชีซึ่งออกกุญแจใหม่บนเครื่อง การแจกกุญแจส่วนตัวของผู้ออกใบรับรองเพื่อแก้ปัญหาตัวตนที่หายไปเป็นความผิดพลาดอีกแบบที่มีรัศมีผลกระทบใหญ่กว่ามาก ผู้ออกออกหนังสือรับรองและไม่ควรเดินทางไปยังปลายทางเลย

ตรวจสอบการเพิกถอนก่อนตอบ

ก่อนเลือกตัวเลือกแบบร่วม ให้อธิบายว่าการเพิกถอนมีหน้าตาอย่างไรในวันที่แย่ที่สุด ถ้าคำตอบคือการกระทำเดียวที่กระทบหลายเครื่อง การออกแบบก็ตัดสินใจสวนทางคุณไปแล้ว

openssl pkcs12 -in client.p12 -info -noout
openssl x509 -in client.pem -noout -subject -issuer -serial -dates
openssl verify -CAfile ca.pem client.pem

ตรวจสอบวัสดุที่คุณมีจริง ๆ ว่ามีกุญแจส่วนตัวหรือไม่ ชื่อเรื่องบอกอะไร และหมายเลขซีเรียลเพิกถอนแยกได้หรือไม่ ไฟล์ใบรับรองที่ไม่มีกุญแจของมันพิสูจน์ตัวตนอะไรไม่ได้เลย นั่นคือเหตุผลที่ตัวตนที่คัดลอกมาบางส่วนล้มเหลวในการเชื่อมต่อครั้งแรก

การลบแอปออกจากแท็บเล็ตไม่ใช่การเพิกถอน และเซิร์ฟเวอร์ยังคงยอมรับตัวตนนั้นจนกว่าจะมีคนปิดใช้งาน เขียนประโยคนั้นลงในคู่มือก่อนลงทะเบียนเครื่องแรก