تسجيل الدخول إلى VPN بشهادة على Mac: الهوية أم استخدام المفتاح أم ثقة البوابة؟
ثلاثة قرارات تقف خلف تسجيل الدخول بالشهادة: أي هوية تُختار، وهل يجوز لمكوّن VPN استخدام مفتاحه، وهل تُوثق البوابة.
تطلب عمليات تسجيل الدخول إلى VPN القائمة على الشهادات من جهاز Mac شيئًا أضيق من كلمة المرور: استخدام هذا المفتاح الخاص تحديدًا، في سياق التنفيذ هذا، لإثبات هوية أمام تلك البوابة. وعندما تفشل، لا تصف الرسالة عادةً سوى آخر ما حدث من خطأ، وهو نادرًا ما يكون السبب الفعلي. وإن تتبّع القرارات الثلاثة بالترتيب الذي يتخذها به النظام يُبقي التشخيص صادقًا، ويمنع معالجة مشكلة أذونات محلية كأنها فشل في التحقق من السلسلة.
تتبّع تسجيل الدخول بالترتيب الذي يتبعه جهاز Mac
أولًا يختار العميل هوية: شهادة مقترنة بمفتاح خاص صالح للاستخدام، متاحة عبر المخزن المدعوم أو موفّر بيانات الاعتماد. ثم يطلب مكوّن VPN إجراء عملية تشفيرية بذلك المفتاح، فيجيب نموذج التخويل المحلي. ولا يحدث المصافحة البعيدة إلا بعد نجاح الاثنين، حيث يقيّم جهاز Mac البوابة وتقيّم البوابة إثبات العميل.
| Decision | Typical symptom | Where to look |
|---|---|---|
| Identity selection | No valid identity, wrong certificate offered | Profile and which identity the client picked |
| Local key use | Signing or interaction error before any handshake | Execution context and key access rules |
| Remote authentication | Chain, name or client-admission rejection | Gateway identity and what it accepts |
اقرأ الجدول من أعلى إلى أسفل وتوقّف عند أول صف يفشل. وكل ما يقع تحت الفشل غير مُثبت، ولهذا فإن «الشهادة غير موثوقة» نتيجة شائعة وغير موثوقة إلى هذا الحد.
ما الذي يغطيه الإذن المحلي فعلًا
في نموذج سلسلة المفاتيح في macOS، تحمل العناصر المحمية قواعد وصول خاصة بكل عملية وقائمة بالتطبيقات الموثوقة. والتوقيع بمفتاح خاص إحدى تلك العمليات، وتنطبق القواعد على الملف التنفيذي الذي ينفّذها، لا على الشهادة كوثيقة. كما يرسم مرجع التحكم في الوصول من Apple حدًا بين هذا النموذج وسلسلة مفاتيح iCloud وترتيبات مجموعات الوصول، لذا لا تنتقل النصيحة المكتوبة لأحدهما إلى الآخر.
تتبع ذلك نتيجتان. فظهور شهادة عامة في قائمة لا يثبت أن مكوّن VPN الخلفي يستطيع الوصول إلى ذلك المفتاح أصلًا. والإذن الممنوح لتطبيق واجهة أمامية لا يقول شيئًا عن مساعد منفصل أو امتداد شبكة، لأنهما شيفرة مختلفة بهويتين مختلفتين.
حدّد التنفيذ الفعلي وآلية مشاركة بيانات الاعتماد المدعومة فيه، بدلًا من نسخ مسار ملف تنفيذي من عميل قديم. وتأكد من الهوية التي سيقدمها النظام في المقام الأول:
security find-identity -v -p ssl-clientفهم الرمز errSecInteractionNotAllowed
تشير تلك الحالة إلى تفاعل غير مسموح مع خادم الأمان، ولا تقول شيئًا عن سلاسل الشهادات. اقرأها مع العملية التي أنتجتها: طلب توقيع صادر من سياق لا يستطيع عرض مطالبة سيفشل بهذه الطريقة حتى عندما يكون المفتاح والشهادة سليمين تمامًا. والعملية التي سجّلته، لا مخزن الشهادات، هي نقطة البداية. وأي تغيير تجريه على مراسي الثقة سيترك الخطأ حيث كان بالضبط.
لذا تعامل مع الرمز كسبب لفحص سياق التنفيذ والتخويل. أما معاملته كدليل على أن شهادة CA الخاصة بالبوابة غير موثوقة فيرسلك إلى النصف الخاطئ من المشكلة، ولن يؤثر التغيير الذي تجريه هناك في الخطأ إطلاقًا.
أصلح بضيق، لا على نطاق واسع
ابدأ بتعليمات التسجيل أو الاستيراد الخاصة بمالك الاتصال. سجّل إصدار العميل ونطاق الملف الشخصي والهوية التي اختيرت وأول خطأ محلي ذي صلة، لأن هذه الحقائق الأربع هي ما يحتاجه تسليم الدعم وما يعتمد عليه أي مقارنة لاحقة. وقد يتطلب ملف شخصي مُدار أو هوية مدعومة بالعتاد أن يصلح المسؤول أو المزوّد عملية التسليم، ولا يُغني أي قدر من النقر المحلي عن ذلك.
حيث يتوقع المنتج موافقة المستخدم، تأكد من المكوّن الذي يطلبها ووافق على ذلك الوصول فقط عبر التدفق المدعوم. وحيث لا يملك المكوّن وسيلة لإظهار مطالبة في السياق الذي يعمل فيه، يجب أن يتبع التهيئة المسار الذي يوثقه المورّد، لا مربع حوار يُستدرج من نافذة طرفية أخرى.
تُجمع تغييران في نصائح أقدم، وكلاهما أوسع من اللازم. فمنح كل تطبيق وصولًا إلى المفتاح الخاص يوسّع استخدام المفتاح محليًا إلى ما يتجاوز المتطلب بكثير، وضبط الشهادة على «الوثوق دائمًا» يغيّر تقييم الشهادات لكل شيء على الجهاز. ولا يعبّر أي منهما عن «هذا التنفيذ المعتمد لـ VPN، بالهوية المقصودة هذه».
تحقق محليًا قبل قراءة البوابة
بعد الإصلاح، تأكد من نجاح العملية المحلية قبل أن تفسّر أي رد من الجانب الآخر. فإن نجح التوقيع الآن، كان رفض لاحق للاسم أو السلسلة أو قبول العميل نتيجة جديدة لا تكرارًا، وهو ينتمي إلى قرار مختلف بمالك مختلف.
التسليم المفيد يسمّي أي القرارات الثلاثة فشل ويتوقف عند ذلك. لا يتضمن المفتاح الخاص أبدًا، ولا يعيد ضبط عناصر سلسلة مفاتيح غير ذات صلة على أمل أن تساعد البداية النظيفة. اعتمد هاتين العادتين قبل الحادثة لا أثناءها، حين يكون إغراء تجربة كل شيء دفعة واحدة في أشدّه. والتذكرة التي تقول «أعدنا بناء سلسلة المفاتيح» لا تخبر القارئ التالي شيئًا تقريبًا عن العطل الأصلي.