Herkese tek bir VPN profili gönderdiniz ve içinde parolanız var

Profil sorunsuz kuruluyor, herkes bağlanıyor ve sonra hesap parolası döndürülüyor. Dosyayı alan her cihaz aynı dakikada kimlik doğrulamayı bırakıyor, çünkü hepsi aynı sırrı taşıyor. İşaret de bu: paylaşılan bir yapıta kopyalanan tek bir kimlik bilgisi, rutin bir parola değişikliğini filo genelinde bir kesintiye çeviriyor. Yeniden kullanılabilir yapılandırmayı ve bireysel kimliği iki ayrı devir olarak tutmak bunu önler ve Apple'ın kendi cihaz yönetimi belgeleri profilleri ayar ve yetkilendirme olarak ele alır, sır deposu olarak değil.

Belirti ilk rotasyonda ortaya çıkar

mobileconfig dosyası XML veya imzalı bir plist'tir. Kopyası olan herkes yükü çözebilir ve içinde ne olduğunu okuyabilir, bu yüzden bir şablondaki AuthPassword değeri, sıra dışı bir dosya uzantısına sahip düz metin kimlik bilgisidir. İmzalama bütünlüğü ve kaynağı değiştirir, okunabilirliği değil. Bu arada, gerçekten paylaşmak istediğiniz kısımlar, örneğin ağ geçidi adresi, beklenen sunucu kimliği ve trafik ilkesi, herkes için aynıdır.

Herhangi bir şeyi düzenlemeden önce alanları sıralayın, çünkü sınır insanların sandığı yerde değil.

Paylaşılan ayarları bireysel kimlik bilgilerinden ayırın

Etkileşimli yol, parolayı dışarıda bırakıp desteklenen kimlik doğrulama düzeninin onu istemesine izin vermektir. Bunu dikkatle okuyun: yalnızca benzer görünen bir alanı silmek, etkileşimli oturum açmaya evrensel bir dönüşüm değildir. IKEv2 yükü AuthName ile AuthPassword arasında ayrım yapar ve kimlik doğrulama yöntemi istemin erişilebilir olup olmadığına karar verir; sertifika tabanlı bir yöntem parolayı hiç sormaz.

Sertifikaların da paylaşılan bir anahtara ihtiyacı yok

Ağ geçidi sertifika kimlik doğrulaması bekliyorsa, amaçlanan kullanıcı veya cihaz kimliğini onaylanmış mekanizmayla kaydedin ve özel anahtarı şablonun dışında tutun. Her kopyada tek bir paylaşılan özel anahtar, size aynı rotasyon sorununu daha kötü bir etki yarıçapıyla verir, çünkü bir anahtar kişi başına verilmediyse kişi başına iptal edilemez.

Söz konusu kimliğin verilişini, yenilenmesini ve iptalini profil revizyonuyla birlikte kaydedin. İkisi birlikte izlendiğinde, yenileme bir olay değil planlı bir görev olur.

Gözetimsiz makinelerin üçüncü bir yanıta ihtiyacı var

Birisi oturum açmadan önce bağlanması gereken makine bir isteme yanıt veremez. Bu, oturum açmış bir kişi için kurulumu kolaylaştırmaktan farklı bir gereksinimdir ve ağ geçidi sahibiyle anlaşılmış yönetilen bir kimlik veya cihaz başına sertifikayla çözülmelidir, profile insan parolası depolayarak değil.

Parola depolamak ikinci bir faktörü de ortadan kaldırmaz. Ağ geçidi MFA istiyorsa, kayıtlı parolası olan bir profil açılışta yine başarısız olur ve hata eksik bir faktörden çok bozuk bir profil gibi görünür.

Gerçekte üretilen yapıtı kontrol edin

Şablonlar atlayarak yalan söyler. Bir yönetim hizmeti veya dışa aktarma aracı, bitmiş dosyaya kimlik bilgileri enjekte edebilir ve eşlik eden kimlik yükleri veya tanılama kopyaları, şablonun hiç göstermediği materyali taşıyabilir. Kimin alabileceğine karar vermeden önce üretilen yapıtı açın. Güvenilen veren ve beklenen sunucu kimliği ayarlarını da bozmayın; parolayı kaldırmak, ağ geçidine duyulan güveni zayıflatmak için bir neden değildir.

Gerçek bir parola veya özel bir kimlik zaten çok geniş yayıldıysa, veren tarafında iptal edin ve değiştirin. Yarının şablonunu düzenlemek, halihazırda kurulu kopyalara hiçbir şey yapmaz ve o kopyalar, arkalarındaki kimlik bilgisi geri çekilene kadar kimlik doğrulamaya devam eder.

Devri bir test kimliğiyle kabul edin

Onaylanmış akışla, ayrı bir test kimliği olarak kaydedilmiş bir cihaza kurun, amaçlanan kimlik doğrulamayı tamamlayın ve tünelin yükselmesini izlemek yerine özel kaynağa ulaşın. Profilin hiçbir kimlik bilgisi materyali içermediğini doğrulayın, ardından kimlik bilgisinin yenilenecek kimlik kaydında bulunduğunu doğrulayın. Bu çift, kabul testidir.

Paylaşılan ayarlar için tek bir revizyon, kişi başına tek bir kayıt ve gerçekten bir kez kullandığınız bir iptal yolu.