Mac IKEv2 ECDSA: hans sertifikat növü müştəriyə aiddir?
Mac-da IKEv2 parametrlərindəki ECDSA256 yerli kimlik sertifikatını təsvir edir, şlüzü və ya verənin imzasını deyil. Seçim etməzdən əvvəl hər rolu oxuyun.
macOS-da IKEv2 müştəri parametrlərindəki ECDSA seçimi dar bir suala cavab verir: hansı sertifikat Mac-ın kimliyini sübut edir. O, şlüz sertifikatını, müştəri sertifikatını verən imzanı və ya tunelin şifrələmə təklifini təsvir etmir. Bu dörd rolu bir uyğunluq sualı kimi qəbul etmək düzgün yerli parametrin server tərəfindəki uyğunsuzluğa görə günahlandırılmasına səbəb olur. Qərar kiçikdir, lakin onu vermək üçün istifadə olunan dəlillər dəqiq olmalıdır.
Sahə bir sertifikatı adlandırır: yerli kimlik
Apple-ın Network Extension API-si müştəri etimadnaməsi üçün sertifikat növü təqdim edir, o cümlədən ECDSA p-256 sertifikat növü kimi sənədləşdirilmiş NEVPNIKEv2CertificateType.ECDSA256. Xüsusiyyət identityReference və ya identityData vasitəsilə verilən sertifikata aiddir.
Bu o deməkdir ki, qərar Mac-ın təqdim etdiyi sertifikata və onunla gedən şəxsi açara aiddir. Həmin yarpaq sertifikatın açıq açarına uyğun növü seçin və kimliyi dəstəklənən mexanizmlə təqdim edin. Əgər Mac-ın kimlik üçün yararlı şəxsi açarı yoxdursa, növ seçimi bağlantını xilas edə bilməz.
İdarə olunan profillər eyni qərarı IKEv2 yükünün CertificateType sahəsi ilə, PayloadCertificateUUID kimi sertifikat istinadı ilə birlikdə verir. Bu sahələrin hədəf OS buraxılışı üçün ilkin şərtləri və sxemi var; profilə köçürülmüş çılpaq növ dəyəri quraşdırıla bilməz və parametrlər pəncərəsi hər API seçimini göstərməyə bilər. Yerləşdirmədən əvvəl həmin buraxılış üçün yükün ilkin şərtlərini yoxlayın.
Sertifikat etiketinə görə deyil, rola görə qərar verin
Dəyişmək üzrə olduğunuz sahəni oxuyun və onun hansı sertifikata işarə etdiyini soruşun. Sertifikat baxışındakı etiketlər subyekti, verəni və imza alqoritmini qarışdırır və onlardan yalnız biri müştəri kimliyi seçiminə aiddir.
| What you inspected | What it controls | Does it choose the Mac certificate type? |
|---|---|---|
| Client leaf public key | The identity the Mac presents | Yes, this is the field's subject |
| Issuer signature algorithm | How the client certificate was signed | No |
| Gateway certificate | What the Mac validates as the peer | No, check it separately |
| IKE and ESP proposals | Algorithms for the tunnel | No, separate proposal settings |
Əgər sertifikat baxışı CA-dan ECDSA imzası göstərirsə, bu, verənin imzalama açarını təsvir edir. Müştərinin öz açarı hələ də RSA ola bilər və növ sahəsi imza sətrinə deyil, müştəri açarına uyğun olmalıdır. Bu tək qarışıqlıq "ECDSA konfiqurasiya olunub, amma bağlantı uğursuz olur" hesabatlarının çoxunu izah edir. Bir şeyi dəyişməzdən əvvəl yarpaqdakı açar növünü profildə seçilmiş növlə müqayisə edin.
Yarpaq müəyyən edildikdən sonra qərar sadələşir: p-256 müştəri açarı üçün ECDSA256, fərqli açar üçün başqa dəstəklənən növ. Əgər müştəri sertifikatı və onun açarı uyğun gəlmirsə, VPN profilini dəyişməzdən əvvəl o cütü düzəldin.
Şlüz sertifikatı ayrı qərardır
Şlüz öz sertifikatını təqdim edir və Mac onu etimad ankeri və gözlənilən ad ilə yoxlayır. Həmin sertifikatın ECDSA, RSA və ya başqa açar növü istifadə etməsi serverin xassəsidir, müştəri kimliyi parametrinin deyil.
ECDSA müştəri sertifikatı üçün yerli dəstək hər şlüz sertifikatının, əyrinin və ya server autentifikasiyası konfiqurasiyasının uyğun işləyəcəyini sübut etmir. Serverin kimliyini, zəncirini və IKE autentifikasiya metodunu ayrı girişlər kimi yoxlayın və faktiki yerləşdiriləcək profillə sınaqdan keçirin.
Əgər problem şlüz sertifikatıdırsa, simptom adətən kimlik seçimində deyil, həmkar yoxlaması zamanı görünür. Müştəri növünü dəyişməzdən əvvəl uğursuzluq mərhələsini oxuyun, çünki etimad uğursuzluğu ilə müştəri açarı uyğunsuzluğunun düzəlişi eyni deyil.
Verənin imzası və açar razılaşması qrupu müştəri növü deyil
X.509 subyektin açıq açarını və verənin imzasını fərqli sahələrdə saxlayır. Subyektin açıq açar məlumatı sertifikatdakı açarı təsvir edir; imza alqoritmi CA-nın açarını və imzalama əməliyyatını təsvir edir. Yalnız birincisi sertifikat növü parametrinə uyğundur.
IKE və Child SA təklifləri başqa oxdur. ECDSA sertifikat növü ESP şifrələmə seçimi deyil və açar razılaşması qrupunu dəyişmək sertifikat növü seçmir. Profildə etibarlı təkliflər və səhv kimlik növü, ya da düzgün kimlik növü və həmkarın rədd etdiyi təklif ola bilər.
Dəyişiklik qeydində üç xətti ayrı saxlayın: kimlik sertifikatı və açar, şlüz etimad girişləri və təklif alqoritmləri. Onları bir "kripto parametrləri" qeydində birləşdirmək növbəti uğursuzluğun mənbəyini müəyyən etməyi qeyri-mümkün edir.
Qərarı konfiqurasiya etdiyiniz sahələrlə yoxlayın
Profilin faktiki istinad etdiyi kimliyi yoxlayın, sonra həmin istinaddakı sertifikatın gözlənilən açıq açarı və yararlı şəxsi açarı olduğunu təsdiqləyin. İnterfeysdə göstərilən növ, istinad edilən sertifikat və cihazdakı açar uyğun olmalıdır.
Sonra şlüz girişlərini təsdiqləyin: gözlənilən server adı, etimad ankeri və IKE autentifikasiya metodu. Nəhayət, qoşulun və əl sıxma harada dayandığını oxuyun. Kimlik mübadiləsindən əvvəlki uğursuzluq bu parametrdən uzağa işarə edir; həmkar yoxlamasındakı uğursuzluq şlüz tərəfinə işarə edir.
Seçilmiş növü, kimlik istinadını və şlüz sertifikatının subyektini yerləşdirmə qeydlərinə yazın. Növbəti profil yeniləməsi onlardan hər hansı birini dəyişə bilər və üç adlı dəyər parametrlər panelinin ekran görüntüsündən daha sürətli müqayisə olunur.