Mac IKEv2 ECDSA: أي نوع من الشهادات يخص العميل؟
على جهاز Mac، يصف ECDSA256 في إعدادات IKEv2 شهادة الهوية المحلية، لا البوابة أو توقيع المُصدر. اقرأ كل دور قبل الاختيار.
على macOS، يجيب خيار ECDSA في إعداد عميل IKEv2 عن سؤال ضيّق: أي شهادة تثبت هوية جهاز Mac. وهو لا يصف شهادة البوابة، ولا التوقيع الذي أصدر شهادة العميل، ولا مقترح التشفير للنفق. والتعامل مع تلك الأدوار الأربعة كسؤال توافق واحد هو ما يجعل إعدادًا محليًا صحيحًا يُلام على عدم تطابق من جهة الخادم. القرار صغير، لكن الأدلة المستخدمة لاتخاذه يجب أن تكون دقيقة.
الحقل يسمّي شهادة واحدة: الهوية المحلية
يكشف Network Extension API من Apple نوع شهادة لبيانات اعتماد العميل، بما في ذلك NEVPNIKEv2CertificateType.ECDSA256، الموثّق كنوع شهادة ECDSA p-256. تنطبق الخاصية على الشهادة المقدَّمة عبر identityReference أو identityData.
يعني ذلك أن القرار يتعلق بالشهادة التي يقدّمها جهاز Mac، إضافة إلى المفتاح الخاص المرافق لها. اختر النوع المطابق للمفتاح العام لشهادة الورقة تلك، وقدّم الهوية عبر الآلية المدعومة. إذا لم يكن لدى جهاز Mac مفتاح خاص صالح للهوية، فلا يمكن لاختيار النوع أن ينقذ الاتصال.
تتخذ الملفات المُدارة القرار نفسه عبر CertificateType في حِمل IKEv2، مقترنًا بمرجع شهادة مثل PayloadCertificateUUID. لتلك الحقول متطلبات مسبقة ومخطط خاص بإصدار نظام التشغيل المستهدف؛ وقيمة نوع مجردة تُنسخ إلى ملف ليست قابلة للتثبيت، وقد لا تعرض نافذة إعدادات كل خيارات API. تحقّق من المتطلبات المسبقة للحِمل لذلك الإصدار قبل النشر.
قرّر حسب الدور، لا حسب تسمية الشهادة
اقرأ الحقل الذي توشك على تغييره واسأل عن الشهادة التي يشير إليها. تخلط التسميات في عارض الشهادات بين الموضوع والمُصدر وخوارزمية التوقيع، وواحد منها فقط يخص اختيار هوية العميل.
| What you inspected | What it controls | Does it choose the Mac certificate type? |
|---|---|---|
| Client leaf public key | The identity the Mac presents | Yes, this is the field's subject |
| Issuer signature algorithm | How the client certificate was signed | No |
| Gateway certificate | What the Mac validates as the peer | No, check it separately |
| IKE and ESP proposals | Algorithms for the tunnel | No, separate proposal settings |
إذا أظهر عارض الشهادات توقيع ECDSA من CA، فإن ذلك يصف مفتاح التوقيع الخاص بالمُصدر. قد يظل مفتاح العميل نفسه RSA، وينبغي أن يتبع حقل النوع مفتاح العميل لا سطر التوقيع. هذا الالتباس الواحد يفسّر تقارير كثيرة من نوع "ECDSA مُهيّأ لكن الاتصال يفشل". قارن نوع المفتاح في الورقة بالنوع المحدد في الملف قبل تغيير أي شيء.
يصبح القرار أبسط بمجرد تحديد الورقة: ECDSA256 لمفتاح عميل p-256، ونوع مدعوم آخر لمفتاح مختلف. إذا لم تتطابق شهادة العميل ومفتاحها، فأصلح ذلك الزوج قبل تغيير ملف VPN.
شهادة البوابة قرار منفصل
تقدّم البوابة شهادتها الخاصة، ويتحقق جهاز Mac منها مقابل مرساة ثقة واسم متوقع. أما كون تلك الشهادة تستخدم ECDSA أو RSA أو نوع مفتاح آخر فهو خاصية بالخادم، لا بإعداد هوية العميل.
الدعم المحلي لشهادة عميل ECDSA لا يثبت أن كل شهادة بوابة أو منحنى أو إعداد مصادقة خادم سوف يتوافق. تحقّق من هوية الخادم وسلسلته وطريقة مصادقة IKE كمدخلات منفصلة، واختبر بالملف الذي سيُنشر فعليًا.
إذا كانت شهادة البوابة هي المشكلة، فغالبًا تظهر الأعراض أثناء التحقق من النظير لا عند اختيار الهوية. اقرأ مرحلة الفشل قبل تغيير نوع العميل، لأن فشل الثقة وعدم تطابق مفتاح العميل لا يشتركان في حل واحد.
توقيع المُصدر ومجموعة اتفاق المفاتيح ليسا نوع العميل
يبقي X.509 المفتاح العام للموضوع وتوقيع المُصدر في حقلين مختلفين. تصف معلومات المفتاح العام للموضوع المفتاح الموجود في الشهادة؛ وتصف خوارزمية التوقيع مفتاح CA وعملية التوقيع. الأول وحده يطابق إعداد نوع الشهادة.
مقترحات IKE و Child SA محور آخر. نوع شهادة ECDSA ليس خيار تشفير ESP، وتغيير مجموعة اتفاق المفاتيح لا يختار نوع شهادة. قد يكون للملف مقترحات صالحة ونوع هوية خاطئ، أو نوع الهوية الصحيح ومقترح يرفضه النظير.
أبقِ الخطوط الثلاثة منفصلة في سجل التغيير: شهادة الهوية ومفتاحها، ومدخلات ثقة البوابة، وخوارزميات المقترحات. وجمعها في ملاحظة واحدة بعنوان "إعدادات التشفير" يجعل الفشل التالي مستحيل النسبة.
تحقّق من القرار بالحقول التي ضبطتها
تحقّق من الهوية التي يشير إليها الملف فعليًا، ثم أكّد أن الشهادة عند ذلك المرجع تملك المفتاح العام المتوقع ومفتاحًا خاصًا صالحًا. يجب أن يتوافق النوع المعروض في الواجهة والشهادة المشار إليها والمفتاح الموجود على الجهاز.
بعد ذلك أكّد مدخلات البوابة: اسم الخادم المتوقع، ومرساة الثقة، وطريقة مصادقة IKE. وأخيرًا اتصل واقرأ أين يتوقف المصافحة. الفشل قبل تبادل الهوية يبعد الشبهة عن هذا الإعداد؛ والفشل عند التحقق من النظير يشير إلى جهة البوابة.
سجّل النوع المختار ومرجع الهوية وموضوع شهادة البوابة في ملاحظات النشر. قد يغيّر تحديث الملف التالي أيًا منها، وثلاث قيم مسمّاة أسرع في المقارنة من لقطة شاشة للوحة إعدادات.