شهادة VPN على Mac: أي حساب تراه البوابة؟

يعرض الملف الشخصي اسمك، بينما تقول التسمية المرئية للشهادة شيئًا آخر، ويسجّل سجل البوابة معرّفًا ثالثًا. لا شيء منها يكذب، وهذه هي المشكلة: ثلاثة حقول مختلفة تُقرأ كأنها تجيب عن سؤال واحد. يتقدّم الاتصال ببيانات سرية ومعرّف IKEv2 وحساب، والبوابة تقرر أيّها يسمح بماذا.

ثلاث هويات في اتصال واحد

اسم الملف الشخصي المرئي تسمية للبشر. يختار اتصالًا ولا شيء غير ذلك. الشهادة بيانات سرية، وقدرتها على إثبات أي شيء تعتمد على ما إذا كان العميل يحمل المفتاح الخاص المطابق. حقل الحساب ادّعاء عن هوية أصلية، وللخادم الحرية في تعيينه إلى هوية محلية مختلفة.

عندما تفشل المصادقة، اسأل إلى أيّ من الثلاثة يشير الخطأ. البيانات السرية المرفوضة والمعرّف المجهول والحساب المعطّل تنتج رسائل مختلفة، والتعامل معها كـ«مشكلة شهادة» واحدة يرسلك إلى وحدة التحكم الخطأ.

اقرأ الحقول الأصلية حسب وظائفها

في إعداد IKEv2 أصلي مُدار، تفصل مرجع الحمولة من Apple بين القيم، وطريقة المصادقة تقرر أي مجموعة مطلوبة:

يمكن أن يكون للشهادة وتسجيل الدخول عبر EAP دورين مختلفين في الاتصال نفسه. لا تُجبر كل حقل على حمل النص نفسه لمجرد أن أحدها يفعل ذلك، ولا تفترض أن تغيير أحدها يتجاوز الآخرين. قد يعرض تطبيق VPN تابع لجهة خارجية نموذجًا مختلفًا تمامًا؛ استخدم اختيار الهوية الموثّق فيه بدلًا من نقل أسماء الحقول الأصلية إليه.

شهادة الخادم ليست هوية عميل

الشهادة التي تتحقق من البوابة هي مرساة ثقة. تثبت أنك وصلت إلى الخادم الذي توقعته. هوية العميل كائن مختلف: تشمل الوصول إلى المفتاح الخاص الذي يثبت أن الطرف المتصل هو من يدّعي أنه هو. إعادة تسمية حساب مرئي لا تحوّل أحدهما إلى الآخر.

هنا يخطئ الإصلاح حسن النية. استيراد شهادة CA الخاصة بالبوابة إلى مخزن العميل لا يفعل شيئًا للمصادقة على العميل، ووسم ذلك الإدخال باسم المستخدم لا يجعله هوية مستخدم. الكائنان يعيشان في أجزاء مختلفة من الملف الشخصي ويجيبان عن أسئلة مختلفة.

تتبّع الهوية الأصلية إلى تعيين البوابة

تأكّد من الغرض الذي صدرت الشهادة من أجله: هذا المستخدم، هذا الجهاز، أو دور مشترك. حساب تسجيل الدخول في Mac ليس تلقائيًا تلك الهوية الأصلية، والشهادة المنسوخة من جهاز آخر تحتفظ بهوية الجهاز الذي صدرت له.

ثم قارن بيانات الاعتماد الفعلية، لا التسمية. المُصدِر والرقم التسلسلي والبصمة تتيح لك وللمسؤول تأكيد أنكما تتحدثان عن الكائن نفسه. أسماء العرض قابلة للتعديل وتتكرر كثيرًا، ما يجعلها أسوأ معرّف ممكن أثناء حادث.

الخطوة الأخيرة على البوابة. اطلب من مالكها ربط اتصال واحد بالمعرّفات المقدّمة وبقاعدة تعيين الحساب التي استهلكتها. تسمية على جانب العميل لا تستطيع إثبات ما قرره الخادم، والقاعدة التي تعيّن شهادة إلى حساب معطّل ستفشل بينما تبدو كل حقول العميل صحيحة.

أصلح الطبقة التي تملك عدم التطابق

إذا كان الملف الشخصي يشير إلى بيانات الاعتماد الخطأ، فصحّح مرجعها أو اختيارها. وإذا كانت بيانات الاعتماد تنتمي إلى هوية أصلية أخرى، فاتبع إعادة التسجيل لدى المُصدِر بدلًا من تحرير التسميات. وإذا ربطت البوابة بيانات اعتماد صالحة بالحساب الخطأ، فعلى مالك السياسة إصلاح التعيين. هذه ثلاثة تغييرات مختلفة بثلاثة معتمدين مختلفين.

التجديد يستحق العناية نفسها. استبدال الشهادة وإعادة تسمية تسميتها المرئية ونقل شخص بين أنظمة حسابات لا تؤثر بالضرورة في التعيين بالطريقة نفسها. سجّل أيّ الثلاثة غيّرت، لأن الفشل التالي سيبدو متطابقًا من جهة العميل ومختلفًا في سجل البوابة.

شارك فقط الحد الأدنى من المعرّفات العامة التي يحتاجها الدعم. لا يكون المفتاح الخاص أو حزمة هوية كاملة جزءًا من ذلك التبادل أبدًا، مهما كان ذلك سيجعل التشخيص أسهل.