Certificat VPN del Mac: quin compte veu la passarel·la?
L’etiqueta del perfil, la credencial i el camp de compte responen a preguntes diferents. Seguiu el principal fins al mapatge de la passarel·la abans de canviar cap nom.
El perfil mostra el vostre nom, l’etiqueta visible del certificat diu una altra cosa i el registre de la passarel·la anota un tercer identificador. Cap d’ells menteix, i aquest és el problema: tres camps diferents es llegeixen com si responguessin a una sola pregunta. La connexió presenta una credencial, un identificador IKEv2 i un compte, i la passarel·la decideix quin d’ells autoritza què.
Tres identitats en una connexió
El nom visible del perfil és una etiqueta per a persones. Selecciona una connexió i res més. El certificat és una credencial, i que pugui demostrar alguna cosa depèn de si el client té la clau privada corresponent. El camp de compte és una afirmació sobre un principal, i el servidor és lliure d’assignar-lo a una altra identitat local.
Quan l’autenticació falla, pregunteu a quin dels tres es refereix l’error. Una credencial rebutjada, un identificador desconegut i un compte desactivat produeixen missatges diferents, i tractar-los com un sol «problema de certificat» us envia a la consola equivocada.
Llegiu els camps nadius segons la seva funció
En una configuració IKEv2 nativa gestionada, la referència de càrrega d’Apple separa els valors, i el mètode d’autenticació decideix quina combinació cal:
| Field | Identifies | Common misreading |
|---|---|---|
| AuthName | Username for the configured arrangement | Assuming it is the certificate subject |
| LocalIdentifier | IKEv2 client identifier | Assuming it must equal the username |
| PayloadCertificateUUID | Referenced credential payload | Assuming any installed certificate will do |
Un certificat i un inici de sessió EAP poden tenir papers diferents en la mateixa connexió. No forceu cada camp a contenir el mateix text només perquè un d’ells ho fa, i no suposeu que canviar-ne un anul·la els altres. Una aplicació VPN de tercers pot exposar un model completament diferent; feu servir la seva selecció d’identitat documentada en lloc de traslladar-hi els noms de camp nadius.
Un certificat de servidor no és una identitat de client
El certificat que valida la passarel·la és un ancoratge de confiança. Demostra que heu arribat al servidor que esperàveu. Una identitat de client és un objecte diferent: inclou l’accés a la clau privada que demostra que la part que es connecta és qui diu ser. Reanomenar un compte visible no pot convertir l’un en l’altre.
Aquí és on una correcció ben intencionada surt malament. Importar el certificat CA de la passarel·la al magatzem del client no fa res per a l’autenticació del client, i etiquetar aquesta entrada amb el nom de l’usuari no la converteix en una identitat d’usuari. Els dos objectes viuen en parts diferents del perfil i responen a preguntes diferents.
Seguiu el principal fins al mapatge de la passarel·la
Confirmeu per a què es va emetre la credencial: aquest usuari, aquest dispositiu o un rol compartit. El compte d’inici de sessió del Mac no és automàticament aquest principal, i un certificat copiat d’una altra màquina conserva la identitat de la màquina per a la qual es va emetre.
Després compareu la credencial real, no l’etiqueta. L’emissor, el número de sèrie i l’empremta us permeten a vós i a l’administrador confirmar que parleu del mateix objecte. Els noms de visualització són editables i sovint es dupliquen, cosa que els converteix en el pitjor identificador possible durant un incident.
L’últim pas és a la passarel·la. Demaneu al seu propietari que correlacioni una connexió amb els identificadors presentats i amb la regla de mapatge de comptes que els ha consumit. Una etiqueta del costat del client no pot establir què ha decidit el servidor, i una regla que assigna un certificat a un compte desactivat fallarà mentre tots els camps del client semblen correctes.
Repareu la capa que posseeix el desajustament
Si el perfil apunta a la credencial equivocada, corregiu-ne la referència o la selecció. Si la credencial pertany a un altre principal, passeu per la re-inscripció de l’emissor en lloc d’editar etiquetes. Si la passarel·la lliga una credencial vàlida al compte equivocat, el seu propietari de política ha de corregir el mapatge. Són tres canvis diferents amb tres aprovadors diferents.
La renovació mereix la mateixa cura. Canviar el certificat, reanomenar la seva etiqueta visible i moure una persona entre sistemes de comptes no afecten necessàriament el mapatge de la mateixa manera. Anoteu quin dels tres heu canviat, perquè la propera fallada semblarà idèntica des del client i diferent al registre de la passarel·la.
Compartiu només els identificadors públics mínims que necessita el suport. Una clau privada o un paquet complet d’identitat no formen mai part d’aquest intercanvi, per convenient que faci el diagnòstic.