Mac IKEv2 ECDSA: koji tip certifikata pripada klijentu?
Na Macu ECDSA256 u IKEv2 postavkama opisuje lokalni certifikat identiteta, a ne pristupnik ili potpis izdavaoca. Pročitajte svaku ulogu prije odabira.
Na macOS-u izbor ECDSA u postavci IKEv2 klijenta odgovara na usko pitanje: koji certifikat dokazuje identitet Maca. On ne opisuje certifikat pristupnika, potpis kojim je izdat klijentski certifikat, ni prijedlog šifriranja za tunel. Tretiranje te četiri uloge kao jednog pitanja kompatibilnosti je način na koji ispravna lokalna postavka bude okrivljena za nesklad na strani servera. Odluka je mala, ali dokazi na kojima se zasniva moraju biti precizni.
Polje imenuje jedan certifikat: lokalni identitet
Appleov Network Extension API izlaže tip certifikata za klijentske vjerodajnice, uključujući NEVPNIKEv2CertificateType.ECDSA256, dokumentovan kao tip certifikata ECDSA p-256. Svojstvo se primjenjuje na certifikat dostavljen kroz identityReference ili identityData.
To znači da se odluka tiče certifikata koji Mac predstavlja, plus privatnog ključa koji ide s njim. Odaberite tip koji odgovara javnom ključu tog lisnog certifikata i dostavite identitet kroz podržani mehanizam. Ako Mac nema upotrebljiv privatni ključ za identitet, izbor tipa ne može spasiti vezu.
Upravljani profili donose istu odluku kroz CertificateType IKEv2 korisnog tereta, u paru s referencom na certifikat kao što je PayloadCertificateUUID. Ta polja imaju preduvjete i šemu za ciljno izdanje OS-a; gola vrijednost tipa kopirana u profil nije instalabilna, a prozor postavki možda ne izlaže svaku API opciju. Provjerite preduvjete korisnog tereta za to izdanje prije implementacije.
Odlučujte po ulozi, a ne po oznaci certifikata
Pročitajte polje koje ćete promijeniti i pitajte na koji certifikat pokazuje. Oznake u pregledniku certifikata miješaju subjekt, izdavaoca i algoritam potpisa, a samo jedna od njih pripada izboru identiteta klijenta.
| What you inspected | What it controls | Does it choose the Mac certificate type? |
|---|---|---|
| Client leaf public key | The identity the Mac presents | Yes, this is the field's subject |
| Issuer signature algorithm | How the client certificate was signed | No |
| Gateway certificate | What the Mac validates as the peer | No, check it separately |
| IKE and ESP proposals | Algorithms for the tunnel | No, separate proposal settings |
Ako preglednik certifikata prikazuje ECDSA potpis od CA, to opisuje ključ za potpisivanje izdavaoca. Klijentov vlastiti ključ i dalje može biti RSA, a polje tipa treba slijediti klijentski ključ, a ne red potpisa. Ova jedna zabuna objašnjava mnoge izvještaje "ECDSA je konfigurisan, ali veza ne uspijeva". Uporedite tip ključa u listu s tipom odabranim u profilu prije nego što bilo šta promijenite.
Odluka postaje jednostavnija kada se list identificira: ECDSA256 za p-256 klijentski ključ, drugi podržani tip za drugačiji ključ. Ako se klijentski certifikat i njegov ključ ne podudaraju, popravite taj par prije promjene VPN profila.
Certifikat pristupnika je zasebna odluka
Pristupnik predstavlja vlastiti certifikat i Mac ga validira prema sidru povjerenja i očekivanom imenu. Da li taj certifikat koristi ECDSA, RSA ili drugi tip ključa, svojstvo je servera, a ne postavke identiteta klijenta.
Lokalna podrška za ECDSA klijentski certifikat ne dokazuje da će svaki certifikat pristupnika, kriva ili konfiguracija autentifikacije servera međusobno raditi. Provjerite identitet servera, njegov lanac i metodu IKE autentifikacije kao zasebne ulaze i testirajte s profilom koji će zaista biti implementiran.
Ako je certifikat pristupnika problem, simptom se obično pojavljuje tokom validacije partnera, a ne pri odabiru identiteta. Pročitajte fazu neuspjeha prije promjene tipa klijenta, jer neuspjeh povjerenja i nesklad klijentskog ključa ne dijele isto rješenje.
Potpis izdavaoca i grupa za dogovor ključeva nisu tip klijenta
X.509 drži javni ključ subjekta i potpis izdavaoca u različitim poljima. Informacije o javnom ključu subjekta opisuju ključ u certifikatu; algoritam potpisa opisuje ključ CA i operaciju potpisivanja. Samo prvo odgovara postavci tipa certifikata.
Prijedlozi IKE i Child SA su druga osa. ECDSA tip certifikata nije izbor ESP šifriranja, a promjena grupe za dogovor ključeva ne odabire tip certifikata. Profil može imati valjane prijedloge i pogrešan tip identiteta, ili ispravan tip identiteta i prijedlog koji partner odbija.
Držite tri linije odvojeno u zapisu promjena: certifikat identiteta i ključ, ulazi povjerenja pristupnika i algoritmi prijedloga. Njihovo spajanje u jednu "kripto postavke" bilješku čini sljedeći neuspjeh nemogućim za atribuciju.
Provjerite odluku pomoću polja koja ste konfigurisali
Provjerite identitet na koji profil zaista referencira, zatim potvrdite da certifikat na toj referenci ima očekivani javni ključ i upotrebljiv privatni ključ. Prikazani tip u sučelju, referencirani certifikat i ključ na uređaju moraju se podudarati.
Zatim potvrdite ulaze pristupnika: očekivano ime servera, sidro povjerenja i metodu IKE autentifikacije. Na kraju se povežite i pročitajte gdje se rukovanje zaustavlja. Neuspjeh prije razmjene identiteta ukazuje dalje od ove postavke; neuspjeh pri validaciji partnera ukazuje na stranu pristupnika.
Zabilježite odabrani tip, referencu identiteta i subjekt certifikata pristupnika u bilješke o implementaciji. Sljedeće ažuriranje profila može promijeniti bilo šta od toga, a tri imenovane vrijednosti brže se upoređuju od snimke ekrana panela s postavkama.