iPad'da parol so'ramasdan VPN: sertifikatlar yoki saqlangan kirish
Saqlangan parol va qurilma sertifikati so'rovni turli yo'llar bilan olib tashlaydi. Ularni solishtiring, so'ngra tunnelni nima ochishini alohida hal qiling.
«Mendan parol so'rashni bas qiling» aslida uchta talabni bitta shikoyatga birlashtiradi va iPad'dagi joylashtirish ularga turli joylarda javob beradi. So'rov autentifikatsiyadan, vaqt faollashtirishdan, qamrov esa majburiy tatbiqdan keladi. Avval so'rovni olib tashlaydigan kirish ma'lumotini tanlang, keyin tunnel qachon ochilishini belgilaydigan narsani alohida hal qiling. Bu ikki qarorni aralashtirish saqlangan parolning hali ham bosishni kutayotgan profilga tushishining aynan sababidir.
| Saved or shared secret | Device certificate | |
|---|---|---|
| What the user sees | no prompt while the credential stays valid | no prompt, no password to rotate |
| What the admin manages | the secret in the profile and its distribution | enrollment, expiry and revocation per device |
| Typical failure | gateway demands a second factor | expired or revoked certificate |
Bitta shikoyatdagi ikki muammo
iPad'dagi mahalliy IKEv2 konfiguratsiyasi parolga yoki sertifikatga murojaat qilishi mumkin, AuthenticationMethod kaliti qaysi biri amal qilishini hal qiladi, PayloadCertificateUUID esa shaxsni beruvchi kirish ma'lumotini nomlaydi. Shlyuz ulardan qaysinisini qabul qilishi server siyosati masalasi, mijoz xohishi emas. Shuning uchun birinchi navbatda VPN xizmati nimaga ruxsat berishini aniqlash kerak, chunki iPad qarshi tomon rad etgan usulga kelisha olmaydi.
Shundan keyingina tunnel qachon faollashishi haqida gapirishning ma'nosi bor, bu esa butunlay boshqa profil kalitlari to'plami.
Birinchi variant: iPad qayta ishlatishi mumkin bo'lgan kirish ma'lumotlari
Saqlangan hisob paroli yoki umumiy sir foydalanuvchini yoki guruhni autentifikatsiya qiluvchi shlyuzni qanoatlantiradi va sir amal qilgancha so'rovni olib tashlaydi. Zaif tomoni — hayot tsikli: sir profilda turadi, bir nechta qurilma uni baham ko'rishi mumkin, rotatsiya esa uni olib yurgan har bir profilga tegishni bildiradi. Agar xizmat qo'shimcha bir martalik omil yoki interaktiv tasdiq talab qilsa, hech qanday mahalliy sozlama bu siyosatni nazoratsiz kirishga aylantirmaydi.
Bitta ilova saqlagan parol ham boshqa VPN tatbiqiga avtomatik ravishda ochiq bo'lmaydi, shuning uchun bir mijozda so'rashni to'xtatib, boshqasida har safar so'rashi mumkin.
Ikkinchi variant: o'z kalitiga ega qurilma sertifikati
Sertifikat so'rovni yanada mustahkam yo'l bilan olib tashlaydi, chunki iPad sirni takrorlash o'rniga shaxsiy kalitga egaligini isbotlaydi. Buning uchun barg sertifikati va uning kaliti tasdiqlangan ro'yxatdan o'tish yo'li orqali kelishi hamda shlyuz o'sha ulanish uchun sertifikat bilan autentifikatsiyani qabul qilishi kerak. Faqat CA sertifikatini import qilish qurilmaga ishonch materiali beradi va boshqa hech narsa, bu esa keng tarqalgan va jimgina xatodir.
Buning narxi — hayot tsikli ishi. Har bir iPad o'z shaxsini oladi, shuning uchun yo'qolgan qurilmani butun parkni qayta bermasdan bekor qilish mumkin, amal qilish muddati esa haqiqiy operatsion hodisalarga aylanadi. Jimgina tugaydigan sertifikat o'sha tongda VPN uzilishiga o'xshab ko'rinadi.
Tanlovni xohishga emas, shlyuz nimani qabul qilishiga qarab qiling
VPN administratoriga ikki savol bering: xizmat bu turdagi mijoz uchun qaysi autentifikatsiya usullarini qabul qiladi va ulardan biri interaktiv kiritishni talab qiladimi. Javob faqat sertifikat bo'lsa, ro'yxatdan o'tish va yangilashni rejalashtiring. Javob parol qo'shimcha ikkinchi omil bo'lsa, so'rov siyosat ekanini qabul qiling va uni qurilma nosozligi deb hisoblashni to'xtating. Ikkisi ham qabul qilinsa, nazorat qilinadigan park uchun hayot tsiklida sertifikat, bir nechta qurilma uchun esa sozlash mehnatida parol yutadi.
Tanlangan usulni profil identifikatorining yonida joylashtirish yozuviga yozing, aks holda profilga keyingi tegadigan kishi boshqasini tanlaydi.
Keyin faollashtirishni autentifikatsiyadan ajrating
VPN On Demand sozlangan shart mos kelganda tunnelni ochadi — DNS domeni, interfeys turi yoki ulangan tarmoq bo'lsin, va Apple buni foydalanuvchi ishtirokini talab qilmaydigan narsa deb hujjatlashtiradi. Bu faqat biror narsa so'raganida ochiq bo'lishi kerak bo'lgan xususiy resurslarga yaxshi mos keladi. Bu qamrovni majburiy ushlab turadigan va o'z nazorat hamda profil talablarini olib keladigan boshqariladigan Always On bilan bir xil emas.
Ishlayotgan kirish ma'lumoti ikkalasiga ham hech narsa qilmaydi. Ko'p iPad'larda to'liq yaroqli sertifikat bor, lekin hech qanday talab qoidasi ishga tushmagani uchun ular hali ham qo'lda bosishni kutadi.
Talabni administrator harakat qila oladigan shaklda topshiring: bu iPad ushbu resurslarga foydalanuvchining takrorlanuvchi kiritishisiz, shu kirish ma'lumoti turi bilan va shu faollashtirish hamda nosozlik qoidalari bo'yicha yetishi kerak. Agar joriy xizmat bu shartlarni bajara olmasa, takrorlanuvchi so'rovlar — rejalashtirilganidek ishlayotgan siyosat.