iPhone có thể tái sử dụng hồ sơ OpenVPN trên Mac của bạn không?

Một kết nối Mac đang hoạt động không phải là mẫu cho điện thoại, kể cả khi cả hai dùng cùng tài khoản và cùng máy chủ. Hồ sơ Mac có thể giữ chứng chỉ trong các tệp riêng, dùng các chỉ thị chỉ có nghĩa trên máy tính để bàn và dựa vào một danh tính mà nhà vận hành chỉ cấp cho riêng máy đó. Điện thoại cần gói riêng, danh tính riêng và đường dẫn nhập riêng. Tách câu hỏi chính sách khỏi câu hỏi đóng gói là phần lớn công việc.

Hỏi nhà vận hành hai điều trước khi sao chép bất cứ thứ gì: tài khoản có được chạy trên nhiều thiết bị hay không, và điện thoại có nên nhận chứng chỉ riêng hay không.

Tái sử dụng trước hết là câu hỏi chính sách, sau đó mới là kỹ thuật

Chứng chỉ máy khách là một danh tính, và đặt một danh tính trên hai thiết bị nghĩa là máy chủ không thể phân biệt chúng trong nhật ký, trong quy tắc truy cập hay khi thu hồi. Một số triển khai chấp nhận điều đó và bật rõ ràng các tên chung trùng lặp; phần lớn thì không, và thiết bị thứ hai bị từ chối hoặc khiến thiết bị đầu tiên mất kết nối. Tên người dùng và mật khẩu dùng chung không làm cho chứng chỉ dùng chung trở nên phù hợp. Hãy lấy câu trả lời của nhà vận hành bằng văn bản trước khi lập kế hoạch chuyển bất cứ thứ gì.

Phía kiểm toán cũng quan trọng không kém. Nếu điện thoại bị mất, việc thu hồi chứng chỉ mà Mac cũng dùng sẽ ngắt kết nối cả hai thiết bị, còn để nó còn hiệu lực sẽ để lại một điện thoại có quyền truy cập VPN đang hoạt động. Chứng chỉ riêng cho từng thiết bị biến phản ứng khi mất thành một lần thu hồi duy nhất, và đó chính là lý do bước đăng ký thêm tồn tại.

Hồ sơ Mac và hồ sơ điện thoại khác nhau trên thực tế

Trên máy tính để bàn, tệp .ovpn có thể nằm cạnh CA, chứng chỉ và khóa trong các tệp riêng, và có thể mang theo hook, script và đường dẫn chỉ có nghĩa trong hệ điều hành đó. Máy khách di động thường muốn các phần đó được nhúng sẵn hoặc cung cấp qua gói PKCS#12 có mật khẩu, và nó bỏ qua hoặc từ chối những chỉ thị không thể đáp ứng. Sao chép tệp của Mac thường tạo ra lần nhập thất bại, hoặc một lần kết nối với một nửa tùy chọn bị thiếu. Giải pháp là gói di động do nhà vận hành duy trì, không phải tệp bị sửa tay đã xóa các dòng khó chịu.

Coi mọi tệp chứa khóa riêng là thông tin xác thực chứ không phải cấu hình. Các bản tải hồ sơ đi qua kênh được bảo vệ vì lý do đó, và một bản sao còn lại trong cuộc trò chuyện hay thư mục tải xuống là một bí mật sống với tên tệp thân thiện.

Nhập qua chính luồng của điện thoại

Cài ứng dụng chính thức OpenVPN Connect, sau đó đưa hồ sơ vào qua luồng nhập của nó, dưới dạng tệp hoặc dưới dạng URL kết nối do nhà vận hành cung cấp. Trên điện thoại không được quản lý, ứng dụng xin quyền thêm cấu hình VPN, và đó là bước xác nhận của chính hệ thống. Hãy làm theo các lời nhắc tài khoản và MFA khi chúng xuất hiện thay vì điền trước các giá trị mượn từ Mac. Nếu nhập thành công mà kết nối không thành, vấn đề nằm ở nội dung hồ sơ chứ không phải ở việc chuyển.

Trên điện thoại được quản lý, quản trị viên có thể hạn chế nhập hoặc sửa hồ sơ qua kênh quản lý thiết bị di động. Ứng dụng bị hạn chế không phải là câu đố cần chinh phục; hãy dùng đường đăng ký của quản trị viên, vì đường đó cũng quyết định điều gì xảy ra khi điện thoại được thay.

Chứng minh điện thoại một cách độc lập

Mở một tài nguyên riêng từ điện thoại qua dữ liệu di động với Wi-Fi đã tắt, để yêu cầu không thể âm thầm đi theo đường khác. Việc Mac vẫn kết nối không chứng minh được gì về tuyến đường, DNS hay việc chấp nhận thông tin xác thực của điện thoại. Sau đó so sánh hai thiết bị: một tên máy chủ nội bộ phân giải được trên Mac và thất bại trên điện thoại cho thấy cài đặt DNS khác nhau giữa các gói. Ghi lại tên hồ sơ, danh tính thiết bị và ai đã đăng ký.

Khi có sự cố, hãy giữ nguyên thông báo chính xác và phiên bản ứng dụng. Lỗi nhập và lỗi kết nối đến từ các tầng khác nhau, và gộp chúng vào một báo cáo làm mất cả một vòng. Một hồ sơ nhập sạch chỉ chứng minh rằng tệp đã được phân tích.

Sau khi đăng ký, hãy xóa các bản sao chuyển theo chính sách lưu trữ của bạn và ghi lại đường đăng ký lại. Điện thoại thay thế nên nhận danh tính mới, không phải bản sao của danh tính cũ.