Certificat VPN al Mac: per què el selector d’identitat queda buit
El client necessita un certificat amb la seva clau privada, en un magatzem que llegeixi. Comprova primer la identitat i després si la passarel·la l’accepta.
Heu instal·lat el certificat, apareix a Keychain Access amb un nom amigable, i el selector d’identitat del client VPN continua buit. El client no busca un certificat. Busca una identitat: un certificat acompanyat de la clau privada que pot demostrar la possessió, desat allà on el client té permís per llegir.
El que demana el client és una identitat
El marc de seguretat d’Apple tracta un certificat i una identitat com a objectes diferents. Un certificat són dades públiques. Una identitat és aquell certificat més la seva clau privada, i només la identitat pot completar un repte. Un certificat d’una CA de confiança, mentrestant, permet al client avaluar un emissor; no converteix la màquina en el titular d’una credencial de client emesa.
| Item | What it can do | What it cannot do |
|---|---|---|
| CA or server certificate | Validate the gateway's chain | Authenticate this client |
| Client certificate without key | Nothing for authentication | Prove possession of anything |
| Identity (cert plus key) | Answer the authentication challenge | Guarantee the gateway accepts it |
Per això importar un fitxer .cer no produeix mai una identitat de client utilitzable. El fitxer només conté material públic, i cap canvi de nom ni cap confiança el converteix en un parell de claus.
Tres motius pels quals el selector queda buit
El primer és una clau privada absent, cosa que significa que el procés d’alta o d’importació no n’ha lliurat cap. El segon és un magatzem que el client no consulta: un perfil limitat a l’usuari busca al clauer de l’usuari, i un element col·locat en un magatzem del sistema pot ser invisible per a ell. El tercer és un desajust de propòsit o de política, en què el certificat existeix però no és vàlid per a l’autenticació del client segons les regles del desplegament.
security find-identity -v -p ssl-clientAixò llista les identitats que el sistema considera vàlides per a l’autenticació del client. Si el recompte és zero, el problema és més amunt del client VPN i cap edició del perfil no el resoldrà. Si la identitat apareix aquí però no al client, la diferència és al magatzem o a l’abast del client.
On viu la clau privada i qui la pot utilitzar
Quan importeu una identitat mitjançant Keychain Access, el diàleg d’importació ofereix un clauer de destinació. Quin destí és correcte depèn del client i de si el perfil és d’abast d’usuari o de dispositiu. Una resposta antiga que recomana el clauer del sistema no és una regla universal, i copiar elements entre magatzems no és una reparació.
System Roots és una col·lecció de confiança. Posar-hi un certificat canvia quins emissors confia el sistema; no crea una clau privada i no és un magatzem d’identitats. Moure certificats no relacionats per omplir un selector és el tipus de reparació que deixa una màquina amb un conjunt de confiança permanentment ampliat.
L’accés a la clau privada és un control a part. Concedir a cada aplicació permís per utilitzar la clau resol el problema de selecció d’un client i lliura la mateixa capacitat a tota la resta de la màquina. Concediu-la al client que la necessita i comproveu si la clau té suport de maquinari o està marcada com a no exportable; si ho és, cal utilitzar el proveïdor compatible en lloc d’una còpia exportada.
Com el perfil apunta a la credencial
En una configuració IKEv2 nativa gestionada, el perfil fa referència a la seva càrrega útil de credencial mitjançant PayloadCertificateUUID. El que importa és la identitat referenciada i la manera com es va aprovisionar; editar un nom de visualització al perfil no repara una referència que apunta a la càrrega útil equivocada o a una que no va lliurar mai cap clau.
Un proveïdor de tercers pot utilitzar un mecanisme de selecció completament diferent, com ara el seu propi magatzem o un avís del sistema. Llegiu la documentació d’aquell proveïdor en lloc de traslladar les suposicions del perfil natiu, i verifiqueu la referència al perfil que realment està instal·lat, no al esborrany de la consola de gestió.
Selecció i acceptació són fites separades
Un selector ple significa que el client pot trobar i utilitzar una identitat. No diu res sobre si la passarel·la l’acceptarà. El servidor encara comprova l’emissor, la finestra de validesa, l’estat de revocació i la correspondència d’aquesta credencial amb un compte.
Proveu totes dues etapes explícitament, en aquest ordre. Confirmeu que la identitat s’ofereix, connecteu-vos i feu que el propietari de la passarel·la confirmi quina credencial es va presentar i quina regla de correspondència la va consumir. Si el client ofereix una identitat i el servidor la rebutja, la feina restant és a la banda del servidor. Reinstal·lar el certificat al Mac no canviarà aquest resultat, per moltes vegades que es repeteixi.