Kailangan ba ng iPad ng Sarili Nitong Sertipiko ng Kliyenteng VPN?

Sumasali ang bagong iPad sa pangkat, at ang pinakamabilis na landas ay i-export ang umiiral na sertipiko ng kliyente at i-install ito sa tablet. Gumagana ito hanggang may umalis, mawala ang isang aparato o humingi ng pag-audit na magsasabi kung aling aparato ang kumonekta at kailan. Ang desisyon ay hindi tungkol sa file ng sertipiko kundi sa identidad: kung ang bawat aparato ay maaaring bigyan ng awtorisasyon at bawiin nang mag-isa. Ang gastos at pagsisikap sa pamamahala ang nagpapasya ng sagot, at pareho silang mas maliit kaysa sa tila.

Iisang tagapaglabas, hiwalay na identidad

Maaaring magtiwala ang bawat aparato sa iisang awtoridad ng sertipiko at kumonekta sa iisang gateway habang may ibang identidad ng kliyente. Ang tagapaglabas ay ang angkla ng pagtitiwala, samantalang ang identidad ay isang pares ng susi na ang paksa ay itinatugma ng server sa isang patakaran. Ang paghahalo ng dalawa ang dahilan kung bakit ang ibinahaging sertipiko ay parang walang pinsala. Nananatili lamang itong walang pinsala hanggang may kailangang malaman kung aling aparato ang nagbukas ng sesyon.

Ang pagbabahagi ng tagapaglabas ay nakakatipid sa gawaing pagsasaayos at walang binabago sa pananagutan kada aparato. Ang pagbabahagi ng identidad ay pinagsasama-sama ang bawat aparato sa isang unit na maaaring bawiin: ang pagbawi sa isa ay nagbabawi sa lahat, at ang pagbibigay ng awtorisasyon sa kapalit ay nagbibigay awtorisasyon sa bawat kopya ng susi na nagawa. Sulit gawin ang palitang ito nang malinaw sa halip na kopyahin ang isang file dahil mas mabilis ito tuwing Biyernes ng hapon.

Kapag Masyadong Mahal ang Pangalawang Sertipiko

Ang pagpapatala kada aparato ay may isang hakbang: isang pinamamahalaang payload, isang kahilingang SCEP o isang gabay na pag-import na may isang beses na password. Kailangan din nito ng lugar para subaybayan ang mga serial number at petsa ng pag-expire, ang bahaging kadalasang nakakalimutan ng mga deployment hanggang sa mag-expire ang unang sertipiko. Parehong isang beses lamang ang dalawang gastos, at pareho silang lumiliit kapag inaautomatiko sila ng daloy ng pagpapatala.

Totoo ang gastos para sa sambahayang may dalawang tablet at isang gumagamit, kung saan ang ibinahaging identidad ay makatwirang desisyong nakatala sa isang pangungusap. Hindi ito makatwiran para sa serbisyong kailangang bawiin ang access kada tao o kada aparato, dahil ang kuwento ng pagbawi ang buong dahilan ng paggamit ng mga sertipiko sa halip na password. Hatulan ang deployment sa dalas ng pagpalit ng may-ari ng aparato, hindi sa dami ng aparatong mayroon ngayon.

Ipatala ang Aparato, Huwag Kopyahin ang Susi

Itinatago ng mga makabagong plataporma ang mga pribadong susi sa protektadong imbakan, at ang ilan ay minamarkahan silang hindi maaaring i-export ayon sa disenyo. Ang katangiang ito ang dahilan kung bakit imposible ang pagkopya sa simula pa lang, at ito rin ang dahilan kung bakit ang na-export na bundle mula sa laptop ay hindi basta maaaring i-import muli sa tablet sa anumang sinusuportahang paraan. Ang pagtatangkang gawin ito ay gumagawa pa rin ng profile na malinis na nai-install at pagkatapos ay hindi kailanman nagpapatunay.

Gamitin ang paraan ng pagpapatala na sinusuportahan na ng deployment: isang pinamamahalaang payload ng identidad, isang serbisyong SCEP o isang daloy na nakabatay sa account na naglalabas ng bagong susi sa aparato. Ang pamamahagi ng pribadong susi ng awtoridad ng sertipiko para lutasin ang nawawalang identidad ay ibang pagkakamali na may mas malaking saklaw ng epekto. Ang awtoridad ay naglalabas ng mga kredensyal at hindi dapat kailanman maglakbay sa endpoint.

Suriin ang Pagbawi Bago Sumagot

Bago piliin ang ibinahaging opsyon, ilarawan kung ano ang hitsura ng pagbawi sa pinakamasamang araw. Kung ang sagot ay isang aksyong nakakaapekto sa maraming aparato, nagpasya na ang disenyo laban sa iyo.

openssl pkcs12 -in client.p12 -info -noout
openssl x509 -in client.pem -noout -subject -issuer -serial -dates
openssl verify -CAfile ca.pem client.pem

Suriin ang materyal na talagang hawak mo: kung may pribadong susi, ano ang sinasabi ng paksa at kung ang serial number ay maaaring bawiin nang isa-isa. Ang file ng sertipiko na walang susi nito ay walang mapapatunayang anuman, at kaya nabibigo ang ilang kopyadong identidad sa unang koneksyon.

Ang pagbura ng app mula sa tablet ay hindi pagbawi, at patuloy na tinatanggap ng server ang identidad hanggang may mag-disable nito. Isulat ang pangungusap na iyon sa runbook bago maipatala ang unang aparato.