Сертыфікат VPN на Mac: які ўліковы запіс бачыць шлюз?

Профіль паказвае ваша імя, бачная метка сертыфіката кажа іншае, а журнал шлюза фіксуе трэці ідэнтыфікатар. Ніводзін з іх не хлусіць, і ў гэтым праблема: тры розныя палі чытаюцца так, нібыта яны адказваюць на адно пытанне. Злучэнне прадстаўляе пасведчанне, ідэнтыфікатар IKEv2 і ўліковы запіс, і шлюз вырашае, якое з іх што дазваляе.

Тры асобы ў адным злучэнні

Бачнае імя профілю — гэта метка для людзей. Яно выбірае злучэнне і больш нічога. Сертыфікат — гэта пасведчанне, і ці можа ён нешта даказаць, залежыць ад таго, ці мае кліент адпаведны прыватны ключ. Поле ўліковага запісу — гэта сцвярджэнне пра асноўную асобу, і сервер вольны супаставіць яго з іншай лакальнай асобай.

Калі аўтэнтыфікацыя не ўдаецца, спытайце, да якога з трох адносіцца памылка. Адхіленае пасведчанне, невядомы ідэнтыфікатар і адключаны ўліковы запіс даюць розныя паведамленні, а стаўленне да іх як да адной «праблемы сертыфіката» накіроўвае вас у не тую кансоль.

Чытайце ўласныя палі па іх прызначэнні

У кіраванай уласнай канфігурацыі IKEv2 даведнік карыснай нагрузкі ад Apple раздзяляе значэнні, а метад аўтэнтыфікацыі вызначае, якая камбінацыя патрабуецца:

Сертыфікат і ўваход праз EAP могуць мець розныя ролі ў адным злучэнні. Не прымушайце кожнае поле ўтрымліваць адзін і той жа тэкст толькі таму, што так робіць адно з іх, і не думайце, што змена аднаго перакрывае астатнія. VPN-праграма трэцяга боку можа прапаноўваць зусім іншую мадэль; карыстайцеся яе дакументаваным выбарам асобы замест перанясення ўласных назваў палёў.

Сертыфікат сервера — гэта не асоба кліента

Сертыфікат, які пацвярджае шлюз, — гэта якар даверу. Ён даказвае, што вы дасягнулі сервера, якога чакалі. Асоба кліента — іншы аб’ект: яна ўключае доступ да прыватнага ключа, які даказвае, што бок, які падключаецца, — гэта той, за каго ён сябе выдае. Перайменаванне бачнага ўліковага запісу не можа ператварыць адно ў другое.

Менавіта тут добрасумленнае выпраўленне ідзе не так. Імпарт CA-сертыфіката шлюза ў сховішча кліента нічога не дае для аўтэнтыфікацыі кліента, а пазначэнне гэтага запісу імем карыстальніка не робіць яго асобай карыстальніка. Два аб’екты жывуць у розных частках профілю і адказваюць на розныя пытанні.

Прасачыце за асноўнай асобай да супастаўлення на шлюзе

Пацвердзіце, для чаго выдадзена пасведчанне: для гэтага карыстальніка, гэтай прылады або агульнай ролі. Уліковы запіс уваходу Mac не з’яўляецца аўтаматычна гэтай асноўнай асобай, а сертыфікат, скапіяваны з іншай машыны, захоўвае асобу машыны, для якой ён выдадзены.

Затым параўнайце само пасведчанне, а не метку. Выдавец, серыйны нумар і адбітак дазваляюць вам і адміністратару пацвердзіць, што вы абмяркоўваеце той самы аб’ект. Бачныя імёны можна змяняць, і яны часта дублююцца, што робіць іх найгоршым магчымым ідэнтыфікатарам падчас інцыдэнту.

Апошні крок — на шлюзе. Папрасіце яго ўласніка суаднесці адно злучэнне з прадстаўленымі ідэнтыфікатарамі і правілам супастаўлення ўліковых запісаў, якое іх спажыло. Метка на баку кліента не можа ўстанавіць, што вырашыў сервер, а правіла, якое супастаўляе сертыфікат з адключаным уліковым запісам, будзе правальвацца, пакуль усе палі кліента выглядаюць правільна.

Адрэмантуйце той пласт, які валодае неадпаведнасцю

Калі профіль паказвае на няправільнае пасведчанне, выпраўце яго спасылку або выбар. Калі пасведчанне належыць іншай асноўнай асобе, прайдзіце паўторную рэгістрацыю ў выдаўца, а не рэдагуйце меткі. Калі шлюз прывязвае сапраўднае пасведчанне да няправільнага ўліковага запісу, яго ўласнік палітыкі павінен выправіць супастаўленне. Гэта тры розныя змены з трыма рознымі пагаджальнікамі.

Абнаўленне заслугоўвае такой жа ўвагі. Замена сертыфіката, перайменаванне яго бачнай меткі і перамяшчэнне чалавека паміж сістэмамі ўліковых запісаў не абавязкова ўплываюць на супастаўленне аднолькава. Запішыце, што менавіта з трох вы змянілі, бо наступная памылка будзе выглядаць аднолькава з боку кліента і інакш у журнале шлюза.

Дзяліцеся толькі мінімальнымі публічнымі ідэнтыфікатарамі, якія патрэбныя падтрымцы. Прыватны ключ або поўны пакет асобы ніколі не ўваходзіць у гэты абмен, незалежна ад таго, наколькі гэта палегчыла б дыягностыку.