Mac-VPN-sertifikaat: waarom die identiteitskeuse leeg bly
Die kliënt het 'n sertifikaat met sy privaatsleutel nodig, in 'n stoorke wat hy lees. Kontroleer eers die identiteit en dan of die poort dit aanvaar.
Jy het die sertifikaat geïnstalleer, dit verskyn in Keychain Access met 'n vriendelike naam, en die VPN-kliënt se identiteitskeuse is steeds leeg. Die kliënt soek nie na 'n sertifikaat nie. Hy soek na 'n identiteit: 'n sertifikaat saam met die privaatsleutel wat besit kan bewys, gestoor waar die kliënt dit mag lees.
Wat die kliënt vra, is 'n identiteit
Apple se sekuriteitsraamwerk behandel 'n sertifikaat en 'n identiteit as verskillende objekte. 'n Sertifikaat is openbare data. 'n Identiteit is daardie sertifikaat plus sy privaatsleutel, en net die identiteit kan 'n uitdaging voltooi. 'n Vertroude CA-sertifikaat laat 'n kliënt intussen 'n uitreiker evalueer; dit maak nie die masjien die houer van 'n uitgereikte kliëntgeloofsbrief nie.
| Item | What it can do | What it cannot do |
|---|---|---|
| CA or server certificate | Validate the gateway's chain | Authenticate this client |
| Client certificate without key | Nothing for authentication | Prove possession of anything |
| Identity (cert plus key) | Answer the authentication challenge | Guarantee the gateway accepts it |
Dit is waarom die invoer van 'n .cer lêer nooit 'n bruikbare kliëntidentiteit lewer nie. Die lêer dra slegs openbare materiaal, en geen mate van hernoem of vertrou maak dit 'n sleutelpaar nie.
Drie redes waarom die keuse leeg bly
Die eerste is 'n ontbrekende privaatsleutel, wat beteken die inskrywings- of invoerproses het nie een gelewer nie. Die tweede is 'n stoorke wat die kliënt nie raadpleeg nie: 'n gebruikerbeperkte profiel kyk in die gebruiker se sleutelring, en 'n item wat in 'n stelselstoorke geplaas is, kan vir hom onsigbaar wees. Die derde is 'n doel- of beleidsverskil, waar die sertifikaat bestaan maar nie geldig is vir kliëntverifikasie onder die ontplooiing se reëls nie.
security find-identity -v -p ssl-clientDit lys die identiteite wat die stelsel as geldig vir kliëntverifikasie beskou. As die telling nul is, is die probleem stroomop van die VPN-kliënt en geen profielwysiging sal dit regmaak nie. As die identiteit hier verskyn maar nie in die kliënt nie, is die kliënt se stoorke of omvang die verskil.
Waar die privaatsleutel woon, en wie dit mag gebruik
Wanneer jy 'n identiteit deur Keychain Access invoer, bied die invoerder 'n bestemming-sleutelring aan. Watter bestemming reg is, hang af van die kliënt en of die profiel gebruiker- of toestelgerig is. 'n Oue antwoord wat die stelselsleutelring aanbeveel, is nie 'n universele reël nie, en om items tussen stoorke te kopieer is nie 'n herstel nie.
System Roots is 'n vertrouensversameling. Om 'n sertifikaat daar te plaas, verander watter uitreikers die stelsel vertrou; dit skep nie 'n privaatsleutel nie, en dit is nie 'n identiteitsstoorke nie. Om onverwante sertifikate rond te skuif om 'n keuse te vul, is die soort regstelling wat 'n masjien met 'n permanent verbrede vertrouensversameling laat.
Privaatsleuteltoegang is 'n aparte beheer. Om elke toepassing toestemming te gee om die sleutel te gebruik los een kliënt se keuseprobleem op en gee dieselfde vermoë aan alles anders op die masjien. Gee dit aan die kliënt wat dit nodig het, en kontroleer of die sleutel hardewaregesteun of as nie-uitvoerbaar gemerk is; as dit so is, moet die ondersteunde verskaffer gebruik word eerder as 'n uitgevoerde kopie.
Hoe die profiel na die geloofsbrief wys
In 'n bestuurde inheemse IKEv2-konfigurasie verwys die profiel na sy geloofsbrieflading deur PayloadCertificateUUID. Die verwysde identiteit en die manier waarop dit voorsien is, is wat saak maak; om 'n vertoonnaam in die profiel te wysig, herstel nie 'n verwysing wat na die verkeerde lading wys of na een wat nooit 'n sleutel gelewer het nie.
'n Derde-partyverskaffer kan 'n heeltemal ander keusemeganisme gebruik, soos sy eie stoorke of 'n stelselprompt. Lees daardie verskaffer se dokumentasie eerder as om aannames oor die inheemse profiel oor te dra, en verifieer die verwysing in die profiel wat werklik geïnstalleer is eerder as dié in die bestuurkonsol se konsep.
Keuse en aanvaarding is afsonderlike mylpale
Agtergrond: 'n Gevulde keuse beteken die kliënt kan 'n identiteit vind en gebruik. Dit sê niks oor of die poort dit sal aanvaar nie. Die bediener kontroleer steeds die uitreiker, die geldigheidsvenster, die herroepstatus, en die kartering van daardie geloofsbrief na 'n rekening.
Toets beide fases eksplisiet, in daardie volgorde. Bevestig die identiteit word aangebied, maak verbinding, en laat die poort se eienaar dan bevestig watter geloofsbrief aangebied is en watter karteringsreël dit verbruik het. As die kliënt 'n identiteit aanbied en die bediener dit verwerp, is die oorblywende werk aan die bediener se kant. Om die sertifikaat op die Mac te herinstalleer sal nie daardie uitkoms verander nie, maak nie saak hoe dikwels dit herhaal word nie.