iPad پر بغیر پاس ورڈ کی درخواست کے VPN: سرٹیفکیٹ یا محفوظ شدہ لاگ اِن
محفوظ شدہ پاس ورڈ اور ڈیوائس سرٹیفکیٹ درخواست کو مختلف طریقوں سے ہٹاتے ہیں۔ دونوں کا موازنہ کریں، پھر الگ سے فیصلہ کریں کہ سرنگ کیا کھولتا ہے۔
«مجھ سے پاس ورڈ پوچھنا بند کریں» درحقیقت تین تقاضوں کو ایک شکایت میں سمیٹتا ہے، اور iPad پر تعیناتی ان کا جواب مختلف جگہوں پر دیتی ہے۔ درخواست تصدیق سے آتی ہے، وقت ایکٹیویشن سے، اور کوریج نفاذ سے۔ پہلے وہ اسناد منتخب کریں جو درخواست ہٹاتی ہیں، پھر الگ سے فیصلہ کریں کہ سرنگ کب کھلتی ہے۔ ان دو فیصلوں کو ملانا ہی وہ وجہ ہے کہ محفوظ شدہ پاس ورڈ ایسی پروفائل پر رہ جاتا ہے جو اب بھی ایک ٹچ کا انتظار کرتی ہے۔
| Saved or shared secret | Device certificate | |
|---|---|---|
| What the user sees | no prompt while the credential stays valid | no prompt, no password to rotate |
| What the admin manages | the secret in the profile and its distribution | enrollment, expiry and revocation per device |
| Typical failure | gateway demands a second factor | expired or revoked certificate |
ایک شکایت میں دو مسائل
iPad پر مقامی IKEv2 ترتیب پاس ورڈ یا سرٹیفکیٹ کا حوالہ دے سکتی ہے، اور کلید AuthenticationMethod فیصلہ کرتی ہے کہ کون سا لاگو ہوتا ہے، جبکہ PayloadCertificateUUID اس اسناد کا نام دیتی ہے جو شناخت فراہم کرتی ہے۔ گیٹ وے ان میں سے کون سا قبول کرے گا یہ سرور پالیسی کا سوال ہے، کلائنٹ کی ترجیح نہیں۔ اس لیے پہلے یہ طے کرنا ہے کہ VPN سروس کس چیز کی اجازت دیتی ہے، کیونکہ iPad ایسے طریقے پر بات چیت نہیں کر سکتا جسے دوسرا سرا مسترد کر دے۔
صرف اس کے بعد سرنگ کے فعال ہونے کے وقت پر بات کرنا معنی رکھتا ہے، جو پروفائل کلیدوں کا بالکل مختلف مجموعہ ہے۔
پہلا آپشن: ایسی اسناد جنہیں iPad دوبارہ استعمال کر سکتا ہے
محفوظ شدہ اکاؤنٹ پاس ورڈ یا مشترکہ راز ایسے گیٹ وے کو مطمئن کرتا ہے جو صارف یا گروہ کی تصدیق کرتا ہے، اور جب تک راز درست رہے درخواست ہٹاتا ہے۔ اس کی کمزوری لائف سائیکل ہے: راز پروفائل میں بیٹھا ہے، کئی ڈیوائسز اسے شیئر کر سکتی ہیں، اور اسے بدلنے کا مطلب ہر اس پروفائل کو چھونا ہے جو اسے اٹھائے ہوئے ہے۔ اگر سروس اضافی طور پر یک وقتی عنصر یا انٹرایکٹو منظوری کا مطالبہ کرے تو کوئی مقامی سیٹنگ اس پالیسی کو بغیر نگرانی لاگ اِن میں تبدیل نہیں کرتی۔
ایک ایپ کے محفوظ کردہ پاس ورڈ بھی خودبخود کسی دوسری VPN عمل آوری کے لیے دستیاب نہیں ہوتے، اسی لیے ایک ہی اکاؤنٹ ایک کلائنٹ میں پوچھنا بند کر سکتا ہے اور دوسرے میں ہر بار پوچھتا رہتا ہے۔
دوسرا آپشن: اپنی کلید کے ساتھ ڈیوائس سرٹیفکیٹ
سرٹیفکیٹ درخواست کو زیادہ مضبوط طریقے سے ہٹاتا ہے، کیونکہ iPad راز دہرانے کے بجائے نجی کلید کی ملکیت ثابت کرتا ہے۔ اس کے لیے ضروری ہے کہ پتی سرٹیفکیٹ اور اس کی کلید منظور شدہ اندراج کے راستے سے آئیں، اور گیٹ وے اس کنکشن کے لیے سرٹیفکیٹ تصدیق قبول کرے۔ صرف CA سرٹیفکیٹ درآمد کرنا ڈیوائس کو اعتماد کا مواد دیتا ہے اور کچھ نہیں، جو ایک عام اور خاموش ناکامی ہے۔
قیمت لائف سائیکل کا کام ہے۔ ہر iPad کو اپنی شناخت ملتی ہے تاکہ گمشدہ ڈیوائس کو پورے بیڑے کو دوبارہ جاری کیے بغیر منسوخ کیا جا سکے، اور میعاد ختم ہونے کی تاریخیں حقیقی آپریشنل واقعات بن جاتی ہیں۔ خاموشی سے ختم ہونے والا سرٹیفکیٹ اسی صبح VPN کی خرابی جیسا نظر آتا ہے جس دن یہ ہوتا ہے۔
ترجیح کے بجائے اس بنیاد پر منتخب کریں جو گیٹ وے قبول کرتا ہے
VPN منتظم سے دو سوال پوچھیں: سروس اس کلائنٹ قسم کے لیے کون سے تصدیقی طریقے قبول کرتی ہے، اور کیا ان میں سے کسی کے لیے انٹرایکٹو اندراج ضروری ہے۔ اگر جواب صرف سرٹیفکیٹ ہو تو اندراج اور تجدید کی منصوبہ بندی کریں۔ اگر جواب پاس ورڈ کے ساتھ دوسرا عنصر ہو تو مان لیں کہ درخواست پالیسی ہے اور اسے ڈیوائس کی خرابی سمجھنا بند کریں۔ اگر دونوں قبول ہوں تو زیر نگرانی بیڑے کے لیے لائف سائیکل میں سرٹیفکیٹ جیتتا ہے اور چند ڈیوائسز کے لیے سیٹ اپ کی محنت میں پاس ورڈ۔
منتخب طریقہ پروفائل شناخت کنندہ کے ساتھ تعیناتی ریکارڈ میں لکھیں، ورنہ پروفائل کو چھونے والا اگلا شخص دوسرا منتخب کرے گا۔
پھر ایکٹیویشن کو تصدیق سے الگ کریں
VPN On Demand سرنگ اس وقت کھولتا ہے جب ترتیب شدہ شرط پوری ہو، چاہے وہ DNS ڈومین ہو، انٹرفیس کی قسم ہو یا منسلک نیٹ ورک، اور Apple اسے بطور ایسا دستاویز کرتا ہے جس کے لیے صارف کی مداخلت درکار نہیں۔ یہ نجی وسائل کے لیے موزوں ہے جو صرف اس وقت قابل رسائی ہونے چاہئیں جب کوئی چیز ان کی درخواست کرے۔ یہ زیر انتظام Always On جیسا نہیں ہے، جو کوریج کو نافذ رکھتا ہے اور اپنے نگرانی اور پروفائل تقاضے لاتا ہے۔
کام کرنے والی اسناد دونوں میں سے کسی کے لیے کچھ نہیں کرتیں۔ بہت سے iPads کے پاس بالکل درست سرٹیفکیٹ ہوتا ہے اور وہ پھر بھی دستی ٹچ کا انتظار کرتے ہیں کیونکہ کوئی آن ڈیمانڈ اصول کبھی فعال نہیں ہوا۔
تقاضا ایسی شکل میں حوالے کریں جس پر منتظم عمل کر سکے: اس iPad کو ان وسائل تک بغیر بار بار صارف کی مداخلت کے، اس قسم کی اسناد کے ساتھ، اور ان ایکٹیویشن اور خرابی کے اصولوں کے تحت پہنچنا چاہیے۔ اگر موجودہ سروس ان شرائط کو پورا نہیں کر سکتی تو بار بار درخواستیں وہ پالیسی ہیں جو حسب منصوبہ کام کر رہی ہے۔