VPN บน iPad โดยไม่มีการถามรหัสผ่าน: ใบรับรองหรือการเข้าสู่ระบบที่บันทึกไว้
รหัสผ่านที่บันทึกไว้และใบรับรองของอุปกรณ์ขจัดการถามด้วยวิธีที่ต่างกัน เปรียบเทียบทั้งสอง แล้วแยกตัดสินใจว่าอะไรเป็นตัวเปิดอุโมงค์
«เลิกถามรหัสผ่านจากฉันได้แล้ว» จริง ๆ แล้วรวมข้อกำหนดสามข้อไว้ในข้อร้องเรียนเดียว และการติดตั้งบน iPad ตอบข้อเหล่านั้นในที่ต่างกัน คำถามมาจากการรับรองความถูกต้อง จังหวะเวลามาจากการเปิดใช้งาน และความครอบคลุมมาจากการบังคับใช้ ก่อนอื่นให้เลือกข้อมูลรับรองที่ขจัดการถาม แล้วแยกตัดสินใจว่าอะไรเป็นตัวกำหนดว่าเมื่อใดอุโมงค์จะเปิด การผสมสองการตัดสินใจนี้เข้าด้วยกันคือสาเหตุที่รหัสผ่านที่บันทึกไว้ไปอยู่ในโปรไฟล์ที่ยังรอการแตะ
| Saved or shared secret | Device certificate | |
|---|---|---|
| What the user sees | no prompt while the credential stays valid | no prompt, no password to rotate |
| What the admin manages | the secret in the profile and its distribution | enrollment, expiry and revocation per device |
| Typical failure | gateway demands a second factor | expired or revoked certificate |
สองปัญหาในข้อร้องเรียนเดียว
การตั้งค่า IKEv2 แบบเนทีฟบน iPad อาจอ้างอิงรหัสผ่านหรือใบรับรอง และคีย์ AuthenticationMethod เป็นตัวตัดสินว่าอันใดมีผล ขณะที่ PayloadCertificateUUID เป็นชื่อของข้อมูลรับรองที่ให้ตัวตน เกตเวย์จะยอมรับอันใดนั้นเป็นเรื่องนโยบายของเซิร์ฟเวอร์ ไม่ใช่ความชอบของไคลเอนต์ ดังนั้นสิ่งแรกที่ต้องพิจารณาคือบริการ VPN อนุญาตอะไร เพราะ iPad ไม่สามารถเจรจาไปสู่วิธีที่อีกฝั่งปฏิเสธได้
หลังจากนั้นเท่านั้นจึงจะสมเหตุสมผลที่จะพูดถึงว่าเมื่อใดอุโมงค์จะเปิดใช้งาน ซึ่งเป็นชุดคีย์โปรไฟล์ที่ต่างออกไปทั้งหมด
ตัวเลือกที่หนึ่ง: ข้อมูลรับรองที่ iPad ใช้ซ้ำได้
รหัสผ่านบัญชีที่เก็บไว้หรือความลับที่ใช้ร่วมกันทำให้เกตเวย์ที่รับรองผู้ใช้หรือกลุ่มพอใจ และขจัดการถามตราบใดที่ความลับยังใช้ได้ จุดอ่อนคือวงจรชีวิต ความลับอยู่ในโปรไฟล์ อุปกรณ์หลายเครื่องอาจใช้ร่วมกัน และการหมุนเวียนหมายถึงต้องแตะทุกโปรไฟล์ที่บรรจุมันไว้ หากบริการยังต้องการปัจจัยใช้ครั้งเดียวหรือการอนุมัติแบบโต้ตอบ ไม่มีการตั้งค่าภายในเครื่องใดเปลี่ยนนโยบายนั้นให้เป็นการเข้าสู่ระบบโดยไม่มีคนดูแล
รหัสผ่านที่แอปหนึ่งบันทึกไว้ก็ไม่ได้พร้อมใช้กับ VPN อีกระบบหนึ่งโดยอัตโนมัติ ซึ่งเป็นเหตุให้บัญชีเดียวกันอาจเลิกถามในไคลเอนต์หนึ่งและถามทุกครั้งในอีกไคลเอนต์หนึ่ง
ตัวเลือกที่สอง: ใบรับรองอุปกรณ์ที่มีคีย์ของตัวเอง
ใบรับรองขจัดการถามด้วยวิธีที่แข็งแรงกว่า เพราะ iPad พิสูจน์ว่าครอบครองคีย์ส่วนตัวแทนการเล่นซ้ำความลับ สิ่งนี้ต้องอาศัย ใบรับรองปลายทางและคีย์มาถึงผ่านเส้นทางการลงทะเบียนที่ได้รับอนุมัติ และเกตเวย์ต้องยอมรับการรับรองด้วยใบรับรองสำหรับการเชื่อมต่อนั้น การนำเข้าเฉพาะใบรับรอง CA ให้วัสดุความเชื่อถือแก่อุปกรณ์และไม่มีอะไรอื่น ซึ่งเป็นความล้มเหลวที่พบบ่อยและเงียบ
ราคาคืองานด้านวงจรชีวิต iPad แต่ละเครื่องได้ตัวตนของตัวเอง เพื่อให้อุปกรณ์ที่หายไปถูกเพิกถอนได้โดยไม่ต้องออกใหม่ทั้งฝูง และวันหมดอายุกลายเป็นเหตุการณ์ปฏิบัติการจริง ใบรับรองที่หมดอายุอย่างเงียบ ๆ ดูเหมือนเหตุขัดข้องของ VPN ในเช้าวันนั้น
เลือกตามสิ่งที่เกตเวย์ยอมรับ ไม่ใช่ตามความชอบ
ถามผู้ดูแล VPN สองคำถาม: บริการยอมรับวิธีการรับรองความถูกต้องใดสำหรับไคลเอนต์ประเภทนี้ และมีวิธีใดที่ต้องป้อนข้อมูลแบบโต้ตอบหรือไม่ หากคำตอบคือใบรับรองเท่านั้น ให้วางแผนการลงทะเบียนและการต่ออายุ หากคำตอบคือรหัสผ่านบวกปัจจัยที่สอง ให้ยอมรับว่าการถามนั้นคือนโยบาย และเลิกถือว่าเป็นความผิดของอุปกรณ์ หากยอมรับทั้งสอง ใบรับรองชนะด้านวงจรชีวิตสำหรับฝูงที่ดูแลอยู่ และรหัสผ่านชนะด้านความพยายามในการตั้งค่าสำหรับอุปกรณ์ไม่กี่เครื่อง
เขียนวิธีที่เลือกไว้ในบันทึกการติดตั้งข้างตัวระบุโปรไฟล์ เพราะมิฉะนั้นคนถัดไปที่แตะโปรไฟล์จะเลือกอีกวิธี
จากนั้นแยกการเปิดใช้งานออกจากการรับรองความถูกต้อง
VPN On Demand เปิดอุโมงค์เมื่อเงื่อนไขที่ตั้งไว้ตรงกัน ไม่ว่าจะเป็นโดเมน DNS ชนิดอินเทอร์เฟซ หรือเครือข่ายที่เข้าร่วม และ Apple ระบุว่าไม่ต้องมีการโต้ตอบของผู้ใช้ สิ่งนี้เหมาะกับทรัพยากรส่วนตัวที่ควรเข้าถึงได้เฉพาะเมื่อมีบางสิ่งร้องขอ ไม่เหมือนกับ Always On แบบจัดการซึ่งรักษาความครอบคลุมให้ถูกบังคับใช้และมีข้อกำหนดด้านการกำกับดูแลและโปรไฟล์ของตัวเอง
ข้อมูลรับรองที่ใช้งานได้ไม่ช่วยอะไรกับทั้งสองกรณี iPad จำนวนมากมีใบรับรองที่ดีสมบูรณ์แต่ยังรอการแตะด้วยมือ เพราะไม่มีกฎตามต้องการใดถูกกระตุ้นเลย
ส่งมอบข้อกำหนดในรูปแบบที่ผู้ดูแลลงมือได้: iPad เครื่องนี้ควรเข้าถึงทรัพยากรเหล่านี้โดยไม่ต้องป้อนข้อมูลซ้ำจากผู้ใช้ ด้วยข้อมูลรับรองประเภทนี้ และภายใต้กฎการเปิดใช้งานและกฎความขัดข้องเหล่านี้ หากบริการปัจจุบันไม่เป็นไปตามเงื่อนไขเหล่านั้น การถามซ้ำ ๆ คือการที่นโยบายทำงานตามที่ออกแบบไว้