VPN на iPad без запитів пароля: сертифікати або збережений вхід
Збережений пароль і сертифікат пристрою прибирають запит по-різному. Порівняйте їх і потім окремо вирішіть, що відкриває тунель.
«Перестаньте питати в мене пароль» насправді об’єднує три вимоги в одну скаргу, і розгортання на iPad відповідає на них у різних місцях. Запит походить від автентифікації, момент — від активації, а покриття — від примусового застосування. Спершу оберіть облікові дані, які прибирають запит, а потім окремо вирішіть, що визначає, коли відкривається тунель. Змішування цих двох рішень — саме те, через що збережений пароль опиняється в профілі, який усе одно чекає натискання.
| Saved or shared secret | Device certificate | |
|---|---|---|
| What the user sees | no prompt while the credential stays valid | no prompt, no password to rotate |
| What the admin manages | the secret in the profile and its distribution | enrollment, expiry and revocation per device |
| Typical failure | gateway demands a second factor | expired or revoked certificate |
Дві проблеми в одній скарзі
Вбудована конфігурація IKEv2 на iPad може посилатися на пароль або на сертифікат, і ключ AuthenticationMethod вирішує, що з цього застосовується, а PayloadCertificateUUID задає облікові дані, які дають ідентичність. Які з них прийме шлюз — питання політики сервера, а не уподобання клієнта. Тому спершу треба з’ясувати, що дозволяє служба VPN, адже iPad не зможе домовитися до методу, від якого відмовляється інша сторона.
Лише після цього має сенс говорити про те, коли активується тунель, а це зовсім інший набір ключів профілю.
Варіант перший: облікові дані, які iPad може використати повторно
Збережений пароль облікового запису або спільний секрет задовольняють шлюз, який автентифікує користувача чи групу, і прибирають запит, доки секрет залишається чинним. Його слабкість — життєвий цикл: секрет лежить у профілі, кілька пристроїв можуть його спільно використовувати, а ротація означає правку кожного профілю, де він є. Якщо служба додатково вимагає одноразовий фактор або інтерактивне підтвердження, жодне локальне налаштування не перетворить цю політику на вхід без участі користувача.
Пароль, збережений однією програмою, також не стає автоматично доступним іншій реалізації VPN, тому той самий обліковий запис може перестати запитувати його в одному клієнті й запитувати щоразу в іншому.
Варіант другий: сертифікат пристрою з власним ключем
Сертифікат прибирає запит надійніше, бо iPad доводить володіння закритим ключем, а не повторює секрет. Для цього потрібно щоб кінцевий сертифікат і його ключ надійшли схваленим шляхом реєстрації, а шлюз приймав автентифікацію за сертифікатом для цього з’єднання. Імпорт лише сертифіката CA дає пристрою матеріал довіри і більше нічого, і це часта й тиха помилка.
Плата за це — робота з життєвим циклом. Кожен iPad отримує власну ідентичність, щоб загублений пристрій можна було відкликати без перевипуску всього парку, а дати завершення стають справжніми операційними подіями. Сертифікат, який тихо завершується, виглядає точно як збій VPN того ранку, коли це стається.
Обирайте за тим, що приймає шлюз, а не за уподобанням
Поставте адміністратору VPN два питання: які методи автентифікації служба приймає для цього типу клієнта і чи якийсь із них вимагає інтерактивного введення. Якщо відповідь — лише сертифікат, плануйте реєстрацію та поновлення. Якщо відповідь — пароль плюс другий фактор, прийміть, що запит це політика, і перестаньте вважати його несправністю пристрою. Якщо прийняті обидва, сертифікат виграє за життєвим циклом для керованого парку, а пароль — за трудовитратами на налаштування для кількох пристроїв.
Запишіть обраний метод у журнал розгортання поруч з ідентифікатором профілю, інакше наступна людина, яка візьметься за профіль, обере інший.
Потім відокремте активацію від автентифікації
VPN On Demand відкриває тунель, коли збігається налаштована умова — домен DNS, тип інтерфейсу чи приєднана мережа, і Apple описує це як таке, що не потребує взаємодії з користувачем. Це добре пасує приватним ресурсам, які мають ставати доступними лише тоді, коли щось їх запитує. Це не те саме, що керований Always On, який тримає покриття примусово ввімкненим і несе власні вимоги до нагляду й профілю.
Робочі облікові дані не допомагають у жодному з варіантів. Багато iPad мають цілком справний сертифікат і все одно чекають ручного натискання, бо жодне правило на вимогу не спрацювало.
Передайте вимогу у формі, з якою адміністратор може працювати: цей iPad має досягати цих ресурсів без повторюваного введення користувача, з цим типом облікових даних і за цими правилами активації та збою. Якщо поточна служба не може виконати ці умови, повторювані запити — це політика, що працює як задумано.