Mac VPN-sertifikaat: watter rekening sien die poort?
Die profieletiket, die geloofsbrief en die rekeningveld beantwoord verskillende vrae. Volg die prinsipaal na die poort se kartering voordat jy enigiets hernoem.
Die profiel wys jou naam, die sertifikaat se vertoonetiket sê iets anders, en die poort se logboek teken ’n derde identifiseerder aan. Nie een van hulle lieg nie, en dit is die probleem: drie verskillende velde word gelees asof hulle een vraag beantwoord. Die verbinding bied ’n geloofsbrief, ’n IKEv2-identifiseerder en ’n rekening aan, en die poort besluit watter een van hulle waarvoor magtig.
Drie identiteite in een verbinding
Die sigbare profielnaam is ’n etiket vir mense. Dit kies ’n verbinding en niks anders nie. Die sertifikaat is ’n geloofsbrief, en of dit enigiets kan bewys hang daarvan af of die kliënt die pasende private sleutel het. Die rekeningveld is ’n bewering oor ’n prinsipaal, en die bediener is vry om dit aan ’n ander plaaslike identiteit te karteer.
Wanneer verifikasiemislukking opduik, vra na watter van die drie die fout verwys. ’n Verwerpte geloofsbrief, ’n onbekende identifiseerder en ’n gedeaktiveerde rekening lewer verskillende boodskappe, en om hulle as een “sertifikaatprobleem” te behandel, stuur jou na die verkeerde konsole.
Lees die inheemse velde volgens hulle take
In ’n bestuurde inheemse IKEv2-konfigurasie skei Apple se payload-verwysing die waardes, en die verifikasiemetode bepaal watter kombinasie vereis word:
| Field | Identifies | Common misreading |
|---|---|---|
| AuthName | Username for the configured arrangement | Assuming it is the certificate subject |
| LocalIdentifier | IKEv2 client identifier | Assuming it must equal the username |
| PayloadCertificateUUID | Referenced credential payload | Assuming any installed certificate will do |
’n Sertifikaat en ’n EAP-aanmelding kan verskillende rolle in dieselfde verbinding hê. Moenie elke veld dwing om dieselfde teks te hou net omdat een van hulle dit doen nie, en moenie aanvaar dat die verandering van een die ander oorheers nie. ’n Derdeparty-VPN-toepassing kan ’n heeltemal ander model blootlê; gebruik sy gedokumenteerde identiteitskeuse eerder as om inheemse veldname daarin in te dra.
’n Bediener-sertifikaat is nie ’n kliëntidentiteit nie
Die sertifikaat wat die poort valideer, is ’n vertrouensanker. Dit bewys dat jy die bediener bereik het wat jy verwag het. ’n Kliëntidentiteit is ’n ander objek: dit sluit toegang tot die private sleutel in wat bewys die verbindende party is wie hy voorgee om te wees. Om ’n sigbare rekening te hernoem kan nie die een in die ander omskep nie.
Dit is waar ’n goedbedoelde regstelling verkeerd loop. Om die poort se CA-sertifikaat in die kliëntstoor in te voer, doen niks vir kliëntverifikasie nie, en om daardie inskrywing met die gebruiker se naam te etiketteer, maak dit nie ’n gebruikeridentiteit nie. Die twee objekte woon in verskillende dele van die profiel en beantwoord verskillende vrae.
Volg die prinsipaal na die poort se kartering
Bevestig waarvoor die geloofsbrief uitgereik is: hierdie gebruiker, hierdie toestel of ’n gedeelde rol. Die Mac-aanmeldrekening is nie outomaties daardie prinsipaal nie, en ’n sertifikaat wat van ’n ander masjien gekopieer is, behou die identiteit van die masjien waarvoor dit uitgereik is.
Vergelyk dan die werklike geloofsbrief, nie die etiket nie. Uitgewer, reeksnommer en vingerafdruk laat jou en die administrateur bevestig dat julle dieselfde objek bespreek. Vertoonname is wysigbaar en word dikwels gedupliseer, wat hulle die slegste moontlike identifiseerder tydens ’n voorval maak.
Die laaste stap is op die poort. Laat die eienaar daarvan een verbinding korreleer met die aangebode identifiseerders en die rekeningkarteringreël wat hulle verbruik het. ’n Kliëntkant-etiket kan nie vasstel wat die bediener besluit het nie, en ’n reël wat ’n sertifikaat aan ’n gedeaktiveerde rekening karteer, sal misluk terwyl elke kliëntkant-veld korrek lyk.
Herstel die laag wat die wanverhouding besit
As die profiel na die verkeerde geloofsbrief wys, korrigeer sy verwysing of sy keuse. As die geloofsbrief aan ’n ander prinsipaal behoort, gaan deur die uitgewer se herinskrywing eerder as om etikette te wysig. As die poort ’n geldige geloofsbrief aan die verkeerde rekening koppel, moet sy beleidseienaar die kartering regstel. Dit is drie verskillende veranderinge met drie verskillende goedkeurders.
Hernuwing verdien dieselfde sorg. Om die sertifikaat te vervang, die vertoonetiket te hernoem en ’n persoon tussen rekeningstelsels te skuif, beïnvloed nie noodwendig die kartering op dieselfde manier nie. Teken aan watter van die drie jy verander het, want die volgende faling sal van die kliënt se kant identies lyk en in die poort se logboek anders.
Deel slegs die minimale publieke identifiseerders wat ondersteuning nodig het. ’n Private sleutel of ’n volledige identiteitsbundel is nooit deel van daardie uitruiling nie, maak nie saak hoe gerieflik dit die diagnose sou maak nie.