Mac VPN sertifikatı: identifikasiya seçicisi niyə boş qalır
Müştəri öz şəxsi açarı ilə birlikdə sertifikata ehtiyac duyur və onu oxuduğu anbarda gözləyir. Əvvəlcə identifikasiyanı, sonra şlüzün onu qəbul edib-etmədiyini yoxlayın.
Sertifikatı quraşdırdınız, o, Keychain Access-də dost adla görünür, lakin VPN müştərisinin identifikasiya seçicisi hələ də boşdur. Müştəri sertifikat axtarmır. O, identifikasiya axtarır: sahibliyi sübut edə bilən şəxsi açarla cütləşmiş sertifikat, müştərinin oxumağa icazə verdiyi yerdə saxlanılan.
Müştərinin istədiyi şey identifikasiyadır
Apple-ın təhlükəsizlik çərçivəsi sertifikatı və identifikasiyanı fərqli obyektlər kimi qəbul edir. Sertifikat açıq məlumatdır. İdentifikasiya həmin sertifikat və onun şəxsi açarıdır və yalnız identifikasiya çağırışı tamamlaya bilər. Etibarlı CA sertifikatı isə müştəriyə buraxanı qiymətləndirməyə imkan verir; o, maşını verilmiş müştəri etimadnaməsinin sahibi etmir.
| Item | What it can do | What it cannot do |
|---|---|---|
| CA or server certificate | Validate the gateway's chain | Authenticate this client |
| Client certificate without key | Nothing for authentication | Prove possession of anything |
| Identity (cert plus key) | Answer the authentication challenge | Guarantee the gateway accepts it |
Buna görə .cer faylının idxalı heç vaxt istifadəyə yararlı müştəri identifikasiyası yaratmır. Fayl yalnız açıq material daşıyır və heç bir adlandırma və ya etimad qurma onu açar cütünə çevirmir.
Seçicinin boş qalmasının üç səbəbi
Birincisi, şəxsi açarın olmamasıdır, yəni qeydiyyat və ya idxal prosesi onu təqdim etməyib. İkincisi, müştərinin müraciət etmədiyi anbardır: istifadəçi səviyyəli profil istifadəçinin açar dəstində axtarır və sistem anbarına qoyulan element onun üçün görünməz ola bilər. Üçüncüsü, məqsəd və ya siyasət uyğunsuzluğudur: sertifikat mövcuddur, lakin yerləşdirmənin qaydalarına görə müştəri autentifikasiyası üçün etibarlı deyil.
security find-identity -v -p ssl-clientBu, sistemin müştəri autentifikasiyası üçün etibarlı saydığı identifikasiyaları sadalayır. Say sıfırdırsa, problem VPN müştərisindən yuxarıdadır və heç bir profil düzəlişi onu həll etməyəcək. İdentifikasiya burada görünür, lakin müştəridə görünmürsə, fərq müştərinin anbarı və ya əhatəsidir.
Şəxsi açarın harada yaşadığı və kimin istifadə edə biləcəyi
Keychain Access vasitəsilə identifikasiya idxal etdikdə, idxal dialoqu təyinat açar dəsti təklif edir. Hansı təyinatın düzgün olduğu müştəridən və profilin istifadəçi yoxsa cihaz səviyyəli olmasından asılıdır. Sistem açar dəstini tövsiyə edən köhnə cavab universal qayda deyil və elementləri anbarlar arasında köçürmək təmir deyil.
System Roots etimad kolleksiyasıdır. Oraya sertifikat qoymaq sistemin hansı buraxanlara etimad etdiyini dəyişir; şəxsi açar yaratmır və identifikasiya anbarı deyil. Seçicini doldurmaq üçün əlaqəsiz sertifikatları yerində-yerindən oynatmaq maşını daimi genişlənmiş etimad dəsti ilə qoyub gedən təmir növüdür.
Şəxsi açara giriş ayrıca nəzarətdir. Hər tətbiqə açarı istifadə icazəsi vermək bir müştərinin seçim problemini həll edir və eyni qabiliyyəti maşındakı hər şeyə verir. Onu ehtiyacı olan müştəriyə verin və açarın aparat dəstəkli və ya ixrac edilə bilməyən kimi işarələnib-işarələnmədiyini yoxlayın; belədirsə, ixrac edilmiş nüsxə yerinə dəstəklənən provayder istifadə edilməlidir.
Profil etimadnaməyə necə işarə edir
İdarə olunan yerli IKEv2 konfiqurasiyasında profil öz etimadnamə yükünə PayloadCertificateUUID vasitəsilə işarə edir. İstinad edilən identifikasiya və onun təchiz edilmə üsulu vacibdir; profildə göstərilən adı redaktə etmək yanlış yükə və ya heç vaxt açar təqdim etməmiş yükə işarə edən istinadı təmir etmir.
Üçüncü tərəf provayder tamamilə fərqli bir seçim mexanizmi istifadə edə bilər, məsələn öz anbarı və ya sistem sorğusu. Yerli profil fərziyyələrini köçürmək yerinə həmin provayderin sənədlərini oxuyun və istinadı idarəetmə konsolunun layihəsində deyil, faktiki quraşdırılmış profildə yoxlayın.
Seçim və qəbul ayrı mərhələlərdir
Dolu seçici müştərinin identifikasiyanı tapıb istifadə edə bildiyini göstərir. Bu, şlüzün onu qəbul edib-etməyəcəyi barədə heç nə demir. Server hələ də buraxanı, etibarlılıq pəncərəsini, ləğvetmə statusunu və həmin etimadnamənin hesaba xəritələnməsini yoxlayır.
Hər iki mərhələni açıq şəkildə, bu ardıcıllıqla sınayın. İdentifikasiyanın təklif edildiyini təsdiqləyin, qoşulun və sonra şlüzün sahibindən hansı etimadnamənin təqdim edildiyini və hansı xəritələmə qaydasının onu istifadə etdiyini təsdiqləməsini istəyin. Müştəri identifikasiya təklif edir və server onu rədd edirsə, qalan iş server tərəfindədir. Sertifikatı Mac-də yenidən quraşdırmaq, nə qədər təkrarlansa da, bu nəticəni dəyişməyəcək.