iPad'in Kendi VPN İstemci Sertifikasına İhtiyacı Var mı?

Yeni bir iPad ekibe katılır ve en hızlı yol mevcut istemci sertifikasını dışa aktarıp tablete kurmaktır. Bu, biri ayrılana, cihazını kaybedene veya hangi cihazın ne zaman bağlandığını söyleyen bir denetim istenene kadar çalışır. Karar sertifika dosyasıyla değil kimlikle ilgilidir: her cihazın kendi başına yetkilendirilip iptal edilebilmesi. Maliyet ve yönetim çabası yanıtı belirler ve ikisi de göründüğünden küçüktür.

Ortak veren, ayrı kimlikler

Her cihaz aynı sertifika otoritesine güvenip aynı ağ geçidine bağlanabilir, ancak farklı bir istemci kimliği taşır. Veren bir güven çıpasıdır, kimlik ise sunucunun öznesini bir politikaya eşlediği anahtar çiftidir. Bunları karıştırmak, paylaşılan bir sertifikayı zararsız gibi göstermeye yol açar. Yalnızca biri hangi cihazın oturum açtığını bilmek zorunda kalana kadar zararsız kalır.

Vereni paylaşmak yapılandırma işinden tasarruf sağlar ve cihaz başına hesap verebilirlikte hiçbir şeyi değiştirmez. Kimliği paylaşmak her cihazı tek bir iptal edilebilir birime sıkıştırır: birini iptal etmek hepsini iptal eder ve bir yedeği yetkilendirmek bugüne kadar yapılmış her anahtar kopyasını yetkilendirir. Bu takası, cuma öğleden sonra daha hızlı diye bir dosyayı kopyalamak yerine açıkça yapmaya değer.

İkinci sertifika fazla maliyetli olduğunda

Cihaz başına kayıt tek adıma mal olur: yönetilen bir profil, bir SCEP isteği veya tek kullanımlık parolayla yönlendirilen içe aktarma. Seri numaralarını ve son kullanma tarihlerini izlemek için de bir yer gerekir; çoğu kurulumun ilk sertifikanın süresi dolana kadar unuttuğu kısım budur. İki maliyet de tek seferliktir ve kayıt akışı onları otomatikleştirdiğinde ikisi de küçülür.

Maliyet, iki tableti ve tek kullanıcısı olan bir hane için gerçektir; orada paylaşılan kimlik tek cümleyle belgelenmiş makul bir karardır. Ancak erişimin kişi veya cihaz başına geri alınması gereken bir hizmet için makul değildir, çünkü iptal hikâyesi parola yerine sertifika kullanmanın tüm nedenidir. Kurulumu bugün kaç cihaz olduğuna göre değil, cihazların ne sıklıkla el değiştirdiğine göre değerlendirin.

Cihazı Kaydedin, Anahtarı Kopyalamayın

Modern platformlar özel anahtarları korumalı bir depoda tutar ve bazıları onları tasarım gereği dışa aktarılamaz olarak işaretler. Kopyalamayı baştan imkânsız kılan tam da bu özelliktir ve bir dizüstü bilgisayardan dışa aktarılan paketin desteklenen hiçbir yolla tablete yeniden aktarılamamasının nedeni de budur. Yine de denemek, temiz kurulan ve sonra hiç kimlik doğrulamayan bir profil üretir.

Kurulumun zaten desteklediği kayıt yöntemini kullanın: yönetilen bir kimlik profili, bir SCEP hizmeti veya cihazda yeni anahtar veren hesap tabanlı bir akış. Eksik kimliği çözmek için sertifika otoritesinin özel anahtarını dağıtmak, etki alanı çok daha büyük olan başka bir hatadır. Otorite kimlik bilgileri verir ve asla uç noktaya seyahat etmemelidir.

Yanıtlamadan Önce İptali Kontrol Edin

Paylaşılan seçeneği seçmeden önce iptalin en kötü günde nasıl göründüğünü açıklayın. Yanıt birkaç cihazı etkileyen tek bir eylemse, tasarım sizin aleyhinize çoktan karar vermiştir.

openssl pkcs12 -in client.p12 -info -noout
openssl x509 -in client.pem -noout -subject -issuer -serial -dates
openssl verify -CAfile ca.pem client.pem

Gerçekten elinizde olan malzemeyi inceleyin: özel bir anahtar var mı, özne ne diyor ve seri numarası ayrı ayrı iptal edilebilir mi. Anahtarı olmayan bir sertifika dosyası hiçbir şeyi doğrulayamaz, bu yüzden bazı kopyalanmış kimlikler ilk bağlantıda başarısız olur.

Tabletten bir uygulamayı silmek iptal değildir ve biri devre dışı bırakana kadar sunucu kimliği kabul etmeye devam eder. İlk cihaz kaydedilmeden önce bu cümleyi runbook'a yazın.