iPad'de parola istemi olmadan VPN: sertifikalar veya kayıtlı oturum açma
Kayıtlı bir parola ile cihaz sertifikası istemi farklı yollarla kaldırır. İkisini karşılaştırın, sonra tüneli neyin açtığına ayrı ayrı karar verin.
«Bana parola sormayı bırakın» aslında üç gereksinimi tek bir şikâyette toplar ve iPad'de bir dağıtım bunlara farklı yerlerde yanıt verir. İstem kimlik doğrulamadan, zamanlama etkinleştirmeden, kapsam ise zorunlu uygulamadan gelir. Önce istemi kaldıran kimlik bilgisini seçin, sonra tünelin ne zaman açıldığını belirleyen şeyi ayrı ayrı kararlaştırın. Bu iki kararı karıştırmak, kayıtlı bir parolanın hâlâ bir dokunuş bekleyen profilde kalmasının tam nedenidir.
| Saved or shared secret | Device certificate | |
|---|---|---|
| What the user sees | no prompt while the credential stays valid | no prompt, no password to rotate |
| What the admin manages | the secret in the profile and its distribution | enrollment, expiry and revocation per device |
| Typical failure | gateway demands a second factor | expired or revoked certificate |
Tek bir şikâyette iki sorun
iPad'de yerel bir IKEv2 yapılandırması parolaya veya sertifikaya başvurabilir; AuthenticationMethod anahtarı hangisinin geçerli olduğuna karar verirken PayloadCertificateUUID kimliği sağlayan kimlik bilgisini adlandırır. Ağ geçidinin bunlardan hangisini kabul edeceği bir sunucu ilkesi sorunudur, istemci tercihi değil. Bu yüzden önce VPN hizmetinin neye izin verdiğini belirlemek gerekir, çünkü iPad karşı tarafın reddettiği bir yönteme doğru pazarlık edemez.
Ancak bundan sonra tünelin ne zaman etkinleştiğinden söz etmenin anlamı olur ve bu tamamen başka bir profil anahtarları kümesidir.
Birinci seçenek: iPad'in yeniden kullanabileceği bir kimlik bilgisi
Saklanan bir hesap parolası veya paylaşılan bir sır, kullanıcıyı ya da grubu doğrulayan bir ağ geçidini tatmin eder ve sır geçerli kaldığı sürece istemi kaldırır. Zayıflığı yaşam döngüsüdür: sır profilde durur, birkaç cihaz onu paylaşabilir ve döndürmek onu taşıyan her profile dokunmayı gerektirir. Hizmet ayrıca tek kullanımlık bir faktör veya etkileşimli bir onay istiyorsa hiçbir yerel ayar bu ilkeyi gözetimsiz bir oturum açmaya dönüştürmez.
Bir uygulamanın kaydettiği parola da başka bir VPN uygulaması için otomatik olarak kullanılabilir olmaz; bu yüzden aynı hesap bir istemcide sormayı bırakıp diğerinde her seferinde sorabilir.
İkinci seçenek: kendi anahtarına sahip bir cihaz sertifikası
Sertifika istemi daha güçlü bir yolla kaldırır, çünkü iPad bir sırrı yeniden oynatmak yerine özel bir anahtara sahip olduğunu kanıtlar. Bunun için uç sertifikanın ve anahtarının onaylanmış kayıt yolundan gelmesi ve ağ geçidinin o bağlantı için sertifika kimlik doğrulamasını kabul etmesi gerekir. Yalnızca bir CA sertifikası içe aktarmak cihaza güven malzemesi verir ve başka hiçbir şey; bu yaygın ve sessiz bir hatadır.
Bunun bedeli yaşam döngüsü işidir. Her iPad kendi kimliğini alır, böylece kaybolan bir cihaz tüm filo yeniden verilmeden iptal edilebilir ve son kullanma tarihleri gerçek operasyonel olaylara dönüşür. Sessizce süresi dolan bir sertifika, o sabah VPN kesintisiyle tamamen aynı görünür.
Seçimi tercihe göre değil, ağ geçidinin neyi kabul ettiğine göre yapın
VPN yöneticisine iki soru sorun: hizmetin bu istemci türü için hangi kimlik doğrulama yöntemlerini kabul ettiğini ve bunlardan birinin etkileşimli girdi gerektirip gerektirmediğini. Yanıt yalnızca sertifikaysa kayıt ve yenilemeyi planlayın. Yanıt parola artı ikinci faktörse istemin bir ilke olduğunu kabul edin ve onu artık cihaz arızası olarak görmeyin. İkisi de kabul ediliyorsa denetlenen bir filo için yaşam döngüsünde sertifika, birkaç cihaz için kurulum emeğinde ise parola kazanır.
Seçilen yöntemi profil tanımlayıcısının yanına dağıtım kaydına yazın, yoksa profile sonradan dokunan kişi diğerini seçer.
Sonra etkinleştirmeyi kimlik doğrulamadan ayırın
VPN On Demand, yapılandırılmış bir koşul eşleştiğinde tüneli açar; bu bir DNS etki alanı, bir arabirim türü veya katılınan bir ağ olabilir ve Apple bunu kullanıcı etkileşimi gerektirmeyen bir şey olarak belgeler. Bu, yalnızca bir şey istediğinde erişilebilir olması gereken özel kaynaklara iyi uyar. Bu, kapsamı zorunlu tutan ve kendi gözetim ve profil gereksinimlerini getiren yönetilen Always On ile aynı şey değildir.
Çalışan bir kimlik bilgisi ikisine de hiçbir şey yapmaz. Birçok iPad'de tamamen iyi bir sertifika vardır ve yine de el ile dokunuş bekler, çünkü hiçbir istek üzerine kural devreye girmemiştir.
Gereksinimi yöneticinin işlem yapabileceği bir biçimde iletin: bu iPad bu kaynaklara kullanıcıdan tekrar eden girdi olmadan, bu kimlik bilgisi türüyle ve bu etkinleştirme ve kesinti kurallarına göre ulaşmalıdır. Mevcut hizmet bu koşulları karşılayamıyorsa, tekrarlanan istemler tasarlandığı gibi çalışan ilkedir.