Nagpadala ka ng isang profile ng VPN sa lahat at naroon ang iyong password

Maayos na nai-install ang profile, kumokonekta ang lahat, at pagkatapos ay pinapalitan ang password ng account. Ang bawat device na nakatanggap ng file ay tumitigil sa pag-authenticate sa parehong minuto, dahil lahat sila ay may dalang parehong lihim. Iyan ang senyales: isang kredensyal na kinopya sa isang shared na artifact ang nagiging dahilan upang ang karaniwang pagpalit ng password ay maging pagkawala ng serbisyo sa buong fleet. Ang paghihiwalay ng magagamit muli na configuration at ng indibidwal na pagkakakilanlan bilang dalawang magkahiwalay na pag-abot ay umiiwas dito, at ang sariling dokumentasyon ng pamamahala ng device ng Apple ay itinuturing ang mga profile bilang mga setting at awtorisasyon, hindi bilang imbakan ng mga lihim.

Lumilitaw ang sintomas sa unang pag-ikot

Ang file na mobileconfig ay XML o isang lagda na plist. Sinumang may kopya ay maaaring i-decode ang payload at basahin kung ano ang nasa loob, kaya ang halaga ng AuthPassword sa isang template ay isang kredensyal sa plaintext na may kakaibang extension ng file. Ang paglagda ay nagbabago ng integridad at pinagmulan, hindi ng pagiging madaling basahin. Samantala, ang mga bahaging talagang gusto mong ibahagi, tulad ng address ng gateway, inaasahang pagkakakilanlan ng server at patakaran sa trapiko, ay pareho para sa lahat.

Ayusin ang mga field bago mag-edit ng kahit ano, dahil ang hangganan ay wala sa inaakala ng mga tao.

Ihiwalay ang mga shared na setting sa mga indibidwal na kredensyal

Ang interactive na landas ay iwanan ang password sa labas at hayaang hilingin ito ng sinusuportahang kaayusan ng pagpapatunay. Basahin itong mabuti: ang pagtanggal ng isang field na mukhang katulad lamang ay hindi isang pangkalahatang paglipat sa interactive na pag-log in. Ang payload ng IKEv2 ay nagtatangi AuthName sa AuthPassword, at ang paraan ng pagpapatunay ang magpapasya kung maaabot man ang prompt; ang paraang nakabatay sa sertipiko ay hindi hihingi ng password.

Hindi rin kailangan ng mga sertipiko ang isang shared na key

Kung inaasahan ng gateway ang pagpapatunay sa sertipiko, irehistro ang nilalayong pagkakakilanlan ng user o device sa pamamagitan ng aprubadong mekanismo at panatilihing labas ng template ang pribadong key. Ang isang shared na pribadong key sa bawat kopya ay nagbibigay sa iyo ng parehong problema sa pag-ikot na may mas masamang saklaw, dahil ang isang key ay hindi maaaring bawiin kada tao kung hindi ito inilabas kada tao.

Itala ang pag-isyu, pag-renew at pagbawi ng pagkakakilanlang iyon kasama ng rebisyon ng profile. Kapag sinusubaybayan ang dalawa nang magkasama, ang pag-renew ay isang naka-iskedyul na gawain at hindi isang insidente.

Kailangan ng mga walang nagmamasid na makina ang ikatlong sagot

Ang isang makina na kailangang kumonekta bago mag-log in ang sinuman ay hindi makasasagot sa isang prompt. Ito ay ibang pangangailangan kaysa sa pagpapagaan ng setup para sa isang naka-log in na tao, at dapat itong lutasin gamit ang pinamamahalaang pagkakakilanlan o sertipiko kada device na napagkasunduan sa may-ari ng gateway, hindi sa pag-iimbak ng password ng tao sa isang profile.

Ang pag-iimbak ng password ay hindi rin nag-aalis ng ikalawang salik. Kung kailangan ng gateway ang MFA, ang profile na may naka-save na password ay nabibigo pa rin sa boot, at ang kabiguan ay mukhang sirang profile kaysa nawawalang salik.

Suriin ang artifact na aktwal na nabuo

Nagsisinungaling ang mga template sa pamamagitan ng pag-alis. Ang isang serbisyo ng pamamahala o tool sa pag-export ay maaaring mag-inject ng kredensyal sa tapos na file, at ang mga kasamang payload ng pagkakakilanlan o diagnostic na kopya ay maaaring magdala ng materyal na hindi kailanman ipinakita ng template. Buksan ang nabuong artifact bago magpasya kung sino ang maaaring makatanggap nito. Panatilihin ding buo ang mga setting ng pinagkakatiwalaang nagbigay at inaasahang pagkakakilanlan ng server; ang pagtanggal ng password ay hindi dahilan upang pahinain ang tiwala sa gateway.

Kung ang isang tunay na password o pribadong pagkakakilanlan ay masyadong malawak nang naglakbay, bawiin ito sa nagbigay at palitan. Ang pag-edit ng template ng bukas ay walang ginagawa sa mga kopya na naka-install na, at ang mga kopyang iyon ay patuloy na magpapatunay hanggang sa maibalik ang kredensyal sa likod nila.

Tanggapin ang pag-abot gamit ang isang test na pagkakakilanlan

I-install sa pamamagitan ng aprubadong daloy sa isang device na nakarehistro bilang hiwalay na test na pagkakakilanlan, kumpletuhin ang nilalayong pagpapatunay at maabot ang pribadong mapagkukunan sa halip na panoorin lamang ang tunnel na umaangat. Kumpirmahin na walang materyal na kredensyal ang profile, pagkatapos ay kumpirmahin na ang kredensyal ay nasa talaan ng pagkakakilanlan na i-renew. Ang pares na iyon ang pagsubok sa pagtanggap.

Isang rebisyon para sa mga shared na setting, isang talaan kada tao, at isang landas ng pagbawi na aktwal mong nagamit nang isang beses.