VPN trên iPad không hỏi mật khẩu: chứng chỉ hay đăng nhập đã lưu
Mật khẩu đã lưu và chứng chỉ thiết bị loại bỏ lời nhắc theo những cách khác nhau. Hãy so sánh chúng, rồi quyết định riêng điều gì mở đường hầm.
«Đừng hỏi tôi mật khẩu nữa» thực ra gộp ba yêu cầu vào một lời phàn nàn, và một triển khai trên iPad trả lời chúng ở những chỗ khác nhau. Lời nhắc đến từ xác thực, thời điểm đến từ kích hoạt, còn phạm vi đến từ việc cưỡng chế. Trước hết hãy chọn thông tin đăng nhập loại bỏ lời nhắc, rồi quyết định riêng điều gì xác định thời điểm đường hầm mở. Trộn lẫn hai quyết định này chính là cách một mật khẩu đã lưu nằm lại trên hồ sơ vẫn chờ một cú chạm.
| Saved or shared secret | Device certificate | |
|---|---|---|
| What the user sees | no prompt while the credential stays valid | no prompt, no password to rotate |
| What the admin manages | the secret in the profile and its distribution | enrollment, expiry and revocation per device |
| Typical failure | gateway demands a second factor | expired or revoked certificate |
Hai vấn đề trong một lời phàn nàn
Cấu hình IKEv2 gốc trên iPad có thể tham chiếu mật khẩu hoặc chứng chỉ, và khóa AuthenticationMethod quyết định cái nào được áp dụng, trong khi PayloadCertificateUUID đặt tên cho thông tin đăng nhập cung cấp danh tính. Cổng sẽ chấp nhận cái nào là câu hỏi về chính sách máy chủ, không phải sở thích của máy khách. Vì vậy việc đầu tiên cần xác lập là dịch vụ VPN cho phép gì, bởi iPad không thể thương lượng tới một phương thức mà đầu bên kia từ chối.
Chỉ sau đó mới có ý nghĩa khi nói về thời điểm đường hầm được kích hoạt, vốn là một bộ khóa hồ sơ hoàn toàn khác.
Lựa chọn một: thông tin đăng nhập mà iPad có thể dùng lại
Mật khẩu tài khoản đã lưu hoặc bí mật chia sẻ làm hài lòng một cổng xác thực người dùng hoặc nhóm, và nó loại bỏ lời nhắc chừng nào bí mật còn hiệu lực. Điểm yếu là vòng đời: bí mật nằm trong hồ sơ, nhiều thiết bị có thể dùng chung, và việc xoay vòng nghĩa là phải chạm vào mọi hồ sơ mang nó. Nếu dịch vụ còn đòi một yếu tố dùng một lần hoặc một phê duyệt tương tác, không thiết lập cục bộ nào biến chính sách đó thành đăng nhập không giám sát.
Mật khẩu do một ứng dụng lưu cũng không tự động khả dụng cho một triển khai VPN khác, đó là lý do cùng một tài khoản có thể thôi hỏi ở một máy khách và hỏi mỗi lần ở máy khác.
Lựa chọn hai: chứng chỉ thiết bị với khóa riêng
Chứng chỉ loại bỏ lời nhắc theo cách mạnh hơn, vì iPad chứng minh việc sở hữu khóa riêng thay vì phát lại một bí mật. Điều đó đòi hỏi chứng chỉ lá và khóa của nó đến qua đường đăng ký đã được phê duyệt, và cổng chấp nhận xác thực bằng chứng chỉ cho kết nối đó. Chỉ nhập một chứng chỉ CA cho thiết bị vật liệu tin cậy và không gì hơn, đây là lỗi phổ biến và âm thầm.
Cái giá là công việc vòng đời. Mỗi iPad nhận danh tính riêng để một thiết bị bị mất có thể bị thu hồi mà không phát hành lại toàn bộ đội, và ngày hết hạn trở thành sự kiện vận hành thật sự. Một chứng chỉ âm thầm hết hạn trông giống hệt sự cố VPN vào buổi sáng nó xảy ra.
Chọn theo điều cổng chấp nhận, không theo sở thích
Hỏi quản trị viên VPN hai câu: dịch vụ chấp nhận những phương thức xác thực nào cho loại máy khách này, và liệu có phương thức nào cần nhập tương tác không. Nếu câu trả lời là chỉ chứng chỉ, hãy lên kế hoạch đăng ký và gia hạn. Nếu câu trả lời là mật khẩu cộng yếu tố thứ hai, hãy chấp nhận rằng lời nhắc là chính sách và đừng coi đó là lỗi thiết bị. Nếu cả hai đều được chấp nhận, chứng chỉ thắng về vòng đời cho một đội được giám sát và mật khẩu thắng về công sức thiết lập cho vài thiết bị.
Ghi phương thức đã chọn vào hồ sơ triển khai bên cạnh định danh hồ sơ, nếu không người tiếp theo chạm vào hồ sơ sẽ chọn cái kia.
Sau đó tách kích hoạt khỏi xác thực
VPN On Demand mở đường hầm khi một điều kiện đã cấu hình khớp, dù đó là miền DNS, loại giao diện hay mạng đã tham gia, và Apple ghi nhận nó là không cần tương tác của người dùng. Điều đó phù hợp với các tài nguyên riêng chỉ nên trở nên truy cập được khi có thứ gì đó yêu cầu. Nó không giống Always On được quản lý, vốn giữ phạm vi được cưỡng chế và mang theo các yêu cầu giám sát, hồ sơ riêng.
Một thông tin đăng nhập hoạt động không làm gì cho cả hai trường hợp. Nhiều iPad có chứng chỉ hoàn toàn tốt mà vẫn chờ một cú chạm thủ công vì chưa từng có quy tắc theo yêu cầu nào kích hoạt.
Chuyển giao yêu cầu dưới dạng quản trị viên có thể hành động: iPad này phải tiếp cận các tài nguyên đó mà không cần nhập liệu lặp lại của người dùng, với loại thông tin đăng nhập này, theo các quy tắc kích hoạt và sự cố này. Nếu dịch vụ hiện tại không đáp ứng được các điều kiện đó, những lời nhắc lặp lại chính là chính sách đang hoạt động đúng như thiết kế.