Mac IKEv2 ECDSA: který typ certifikátu patří klientovi?
Na Macu popisuje ECDSA256 v nastavení IKEv2 místní certifikát identity, nikoli bránu nebo podpis vydavatele. Před volbou si přečtěte každou roli.
V macOS odpovídá volba ECDSA v nastavení klienta IKEv2 na úzkou otázku: který certifikát prokazuje identitu Macu. Nepopisuje certifikát brány, podpis, kterým byl klientský certifikát vydán, ani šifrovací návrh pro tunel. Považovat tyto čtyři role za jedinou otázku kompatibility je způsob, jakým je správné místní nastavení obviňováno z nesouladu na straně serveru. Rozhodnutí je malé, ale důkazy, o které se opírá, musí být přesné.
Pole pojmenovává jeden certifikát: místní identitu
Network Extension API od Apple vystavuje typ certifikátu pro klientské přihlašovací údaje, včetně NEVPNIKEv2CertificateType.ECDSA256, dokumentovaného jako typ certifikátu ECDSA p-256. Vlastnost se vztahuje na certifikát dodaný přes identityReference nebo identityData.
To znamená, že rozhodnutí se týká certifikátu, který Mac předkládá, a k němu náležejícího soukromého klíče. Zvolte typ, který odpovídá veřejnému klíči tohoto koncového certifikátu, a dodejte identitu podporovaným mechanismem. Pokud Mac nemá použitelný soukromý klíč pro identitu, volba typu spojení nezachrání.
Spravované profily činí stejné rozhodnutí přes CertificateType v datové části IKEv2 ve spojení s odkazem na certifikát, jako je PayloadCertificateUUID. Tato pole mají předpoklady a schéma pro cílovou verzi operačního systému; holá hodnota typu zkopírovaná do profilu není instalovatelná a okno nastavení nemusí nabízet všechny volby API. Před nasazením zkontrolujte předpoklady datové části pro danou verzi.
Rozhodujte podle role, ne podle popisku certifikátu
Přečtěte si pole, které se chystáte změnit, a zeptejte se, na který certifikát ukazuje. Popisky v prohlížeči certifikátů míchají subjekt, vydavatele a algoritmus podpisu, a jen jeden z nich patří k volbě identity klienta.
| What you inspected | What it controls | Does it choose the Mac certificate type? |
|---|---|---|
| Client leaf public key | The identity the Mac presents | Yes, this is the field's subject |
| Issuer signature algorithm | How the client certificate was signed | No |
| Gateway certificate | What the Mac validates as the peer | No, check it separately |
| IKE and ESP proposals | Algorithms for the tunnel | No, separate proposal settings |
Pokud prohlížeč certifikátů zobrazuje podpis ECDSA od CA, popisuje to podpisový klíč vydavatele. Vlastní klíč klienta může být stále RSA a pole typu má následovat klientský klíč, ne řádek podpisu. To jediné zmatení vysvětluje mnoho hlášení "ECDSA je nastaveno, ale spojení selhává". Porovnejte typ klíče v koncovém certifikátu s typem zvoleným v profilu, než něco změníte.
Rozhodnutí se zjednoduší, jakmile je koncový certifikát určen: ECDSA256 pro klientský klíč p-256, jiný podporovaný typ pro odlišný klíč. Pokud klientský certifikát a jeho klíč nesouhlasí, opravte tuto dvojici dříve, než změníte profil VPN.
Certifikát brány je samostatné rozhodnutí
Brána předkládá vlastní certifikát a Mac jej ověřuje vůči kotvě důvěry a očekávanému názvu. Zda tento certifikát používá ECDSA, RSA nebo jiný typ klíče, je vlastnost serveru, nikoli nastavení identity klienta.
Místní podpora klientského certifikátu ECDSA nedokazuje, že každý certifikát brány, křivka nebo konfigurace ověřování serveru bude spolupracovat. Zkontrolujte identitu serveru, jeho řetěz a metodu ověřování IKE jako samostatné vstupy a testujte s profilem, který bude skutečně nasazen.
Pokud je problémem certifikát brány, příznak se obvykle objeví při ověřování protistrany, nikoli při volbě identity. Přečtěte si fázi selhání dříve, než změníte typ klienta, protože selhání důvěry a nesoulad klientského klíče nemají společné řešení.
Podpis vydavatele a skupina pro dohodu klíčů nejsou typ klienta
X.509 drží veřejný klíč subjektu a podpis vydavatele v různých polích. Informace o veřejném klíči subjektu popisuje klíč v certifikátu; algoritmus podpisu popisuje klíč CA a operaci podpisu. Nastavení typu certifikátu odpovídá pouze první z nich.
Návrhy IKE a Child SA jsou další osa. Typ certifikátu ECDSA není volbou šifrování ESP a změna skupiny pro dohodu klíčů nevybírá typ certifikátu. Profil může mít platné návrhy a špatný typ identity, nebo správný typ identity a návrh, který protistrana odmítá.
V záznamu změn držte tři řádky oddělené: certifikát identity a klíč, vstupy důvěry brány a algoritmy návrhů. Jejich spojení do jedné poznámky "krypto nastavení" činí následné selhání nepřiřaditelným.
Ověřte rozhodnutí v polích, která jste nastavili
Zkontrolujte identitu, na kterou profil skutečně odkazuje, a poté potvrďte, že certifikát na tomto odkazu má očekávaný veřejný klíč a použitelný soukromý klíč. Zobrazený typ v rozhraní, odkazovaný certifikát a klíč v zařízení se musí shodovat.
Dále potvrďte vstupy brány: očekávaný název serveru, kotvu důvěry a metodu ověřování IKE. Nakonec se připojte a přečtěte, kde se handshake zastaví. Selhání před výměnou identity ukazuje mimo toto nastavení; selhání při ověřování protistrany ukazuje na stranu brány.
Zapište zvolený typ, odkaz na identitu a subjekt certifikátu brány do poznámek k nasazení. Příští aktualizace profilu může změnit kteroukoli z nich a tři pojmenované hodnoty se porovnávají rychleji než snímek obrazovky panelu nastavení.