VPN certifikat na Macu: zašto izbornik identiteta ostaje prazan
Klijentu treba certifikat s vlastitim privatnim ključem, u spremištu koje čita. Prvo provjerite identitet, a zatim prihvaća li ga pristupnik.
Instalirali ste certifikat, on se pojavljuje u Keychain Accessu s prijateljskim imenom, a izbornik identiteta VPN klijenta i dalje je prazan. Klijent ne traži certifikat. On traži identitet: certifikat uparen s privatnim ključem koji može dokazati posjedovanje, pohranjen tamo gdje klijent smije čitati.
Ono što klijent traži jest identitet
Appleov sigurnosni okvir tretira certifikat i identitet kao različite objekte. Certifikat je javni podatak. Identitet je taj certifikat plus njegov privatni ključ i samo identitet može dovršiti izazov. Povjerljivi CA certifikat, pak, omogućuje klijentu da ocijeni izdavatelja; on ne čini računalo vlasnikom izdanih klijentskih vjerodajnica.
| Item | What it can do | What it cannot do |
|---|---|---|
| CA or server certificate | Validate the gateway's chain | Authenticate this client |
| Client certificate without key | Nothing for authentication | Prove possession of anything |
| Identity (cert plus key) | Answer the authentication challenge | Guarantee the gateway accepts it |
Zato uvoz datoteke .cer nikada ne stvara upotrebljiv klijentski identitet. Datoteka nosi samo javni materijal i nikakvo preimenovanje ni povjerenje od nje ne pravi par ključeva.
Tri razloga zašto izbornik ostaje prazan
Prvi je nedostatak privatnog ključa, što znači da ga proces upisa ili uvoza nije dostavio. Drugi je spremište koje klijent ne pregledava: profil ograničen na korisnika traži u korisničkom privjesku ključeva, a stavka smještena u sistemsko spremište može mu biti nevidljiva. Treći je nesklad namjene ili pravila, gdje certifikat postoji, ali nije valjan za provjeru autentičnosti klijenta prema pravilima primjene.
security find-identity -v -p ssl-clientOvo navodi identitete koje sustav smatra valjanima za provjeru autentičnosti klijenta. Ako je broj nula, problem je iznad VPN klijenta i nijedno uređivanje profila ga neće riješiti. Ako se identitet pojavljuje ovdje, ali ne u klijentu, razlika je u spremištu ili opsegu klijenta.
Gdje živi privatni ključ i tko ga smije koristiti
Kada uvezete identitet putem Keychain Accessa, dijalog za uvoz nudi odredišni privjesak ključeva. Koje je odredište ispravno ovisi o klijentu i o tome je li profil ograničen na korisnika ili na uređaj. Stari odgovor koji preporučuje sistemski privjesak ključeva nije univerzalno pravilo i kopiranje stavki između spremišta nije popravak.
System Roots je zbirka povjerenja. Stavljanje certifikata tamo mijenja koje izdavatelje sustav smatra povjerljivima; ono ne stvara privatni ključ i nije spremište identiteta. Premještanje nepovezanih certifikata da bi se napunio izbornik vrsta je popravka koji računalo ostavlja s trajno proširenim skupom povjerenja.
Pristup privatnom ključu zasebna je kontrola. Davanje svakoj aplikaciji dopuštenja za korištenje ključa rješava problem odabira jednog klijenta i predaje istu mogućnost svemu ostalom na računalu. Dajte ga klijentu kojem treba i provjerite je li ključ hardverski podržan ili označen kao neizvoziv; ako jest, mora se koristiti podržani pružatelj umjesto izvezene kopije.
Kako profil pokazuje na vjerodajnicu
U upravljanoj izvornoj IKEv2 konfiguraciji profil upućuje na svoj korisni sadržaj vjerodajnice kroz PayloadCertificateUUID. Bitni su navedeni identitet i način na koji je osiguran; uređivanje prikazanog imena u profilu ne popravlja uputu koja pokazuje na pogrešan korisni sadržaj ili na onaj koji nikada nije dostavio ključ.
Pružatelj treće strane može koristiti potpuno drugačiji mehanizam odabira, poput vlastitog spremišta ili sistemskog upita. Čitajte dokumentaciju tog pružatelja umjesto da prenosite pretpostavke o izvornom profilu i provjerite uputu u profilu koji je stvarno instaliran, a ne u nacrtu u upravljačkoj konzoli.
Odabir i prihvaćanje odvojene su prekretnice
Napunan izbornik znači da klijent može naći i koristiti identitet. To ne govori ništa o tome hoće li ga pristupnik prihvatiti. Poslužitelj još provjerava izdavatelja, razdoblje valjanosti, status opoziva i preslikavanje te vjerodajnice na račun.
Testirajte obje faze izričito, tim redom. Potvrdite da se identitet nudi, povežite se i zatim neka vlasnik pristupnika potvrdi koja je vjerodajnica predstavljena i koje je pravilo preslikavanja tu vjerodajnicu iskoristilo. Ako klijent nudi identitet, a poslužitelj ga odbija, preostali je posao na strani poslužitelja. Ponovna instalacija certifikata na Macu neće promijeniti taj ishod, koliko god se puta ponovila.