Mac IKEv2 ECDSA: pa fath o dystysgrif sy'n perthyn i'r cleient?
Ar Mac, mae ECDSA256 yn nhegfeydd IKEv2 yn disgrifio'r dystysgrif hunaniaeth leol, nid y porth na llofnod y cyhoeddwr. Darllenwch bob rôl cyn dewis.
Ar macOS, mae'r dewis ECDSA mewn tegfeydd cleient IKEv2 yn ateb cwestiwn cul: pa dystysgrif sy'n profi hunaniaeth y Mac. Nid yw'n disgrifio tystysgrif y porth, y llofnod a gyhoeddodd dystysgrif y cleient, na'r cynnig amgryptio ar gyfer y twnnel. Trin y pedair rôl hynny fel un cwestiwn cydnawsedd yw'r ffordd y caiff tegfedd leol gywir ei beio am gamgymharu ar ochr y gweinydd. Mae'r penderfyniad yn fach, ond rhaid i'r dystiolaeth a ddefnyddir i'w wneud fod yn fanwl gywir.
Mae'r maes yn enwi un dystysgrif: yr hunaniaeth leol
Mae Network Extension API Apple yn datgelu math o dystysgrif ar gyfer cymhwyster y cleient, gan gynnwys NEVPNIKEv2CertificateType.ECDSA256, a ddogfenwyd fel y math tystysgrif ECDSA p-256. Mae'r eiddo'n berthnasol i'r dystysgrif a ddarperir drwy identityReference neu identityData.
Mae hynny'n golygu bod y penderfyniad yn ymwneud â'r dystysgrif y mae'r Mac yn ei chyflwyno, ynghyd â'r allwedd breifat sy'n mynd gyda hi. Dewiswch y math sy'n cyfateb i allwedd gyhoeddus y ddalen-dystysgrif honno a darparwch yr hunaniaeth drwy'r mecanwaith a gefnogir. Os nad oes gan y Mac allwedd breifat y gellir ei defnyddio ar gyfer yr hunaniaeth, ni all y dewis math achub y cysylltiad.
Mae proffiliau a reolir yn gwneud yr un penderfyniad drwy CertificateType y llwyth IKEv2, ynghyd â chyfeiriad tystysgrif fel PayloadCertificateUUID. Mae gan y meysydd hyn ragofynion a chynllun ar gyfer rhyddhad y system weithredu darged; nid yw gwerth math noeth a gopïwyd i broffil yn osodadwy, ac efallai nad yw ffenestr tegfeydd yn datgelu pob opsiwn API. Gwiriwch ragofynion y llwyth ar gyfer y rhyddhad hwnnw cyn defnyddio.
Penderfynwch yn ôl rôl, nid yn ôl label y dystysgrif
Darllenwch y maes rydych ar fin ei newid a gofynnwch at ba dystysgrif y mae'n cyfeirio. Mae labeli mewn gwyliwr tystysgrifau yn cymysgu'r pwnc, y cyhoeddwr a'r algorithm llofnodi, a dim ond un ohonynt sy'n perthyn i ddewis hunaniaeth y cleient.
| What you inspected | What it controls | Does it choose the Mac certificate type? |
|---|---|---|
| Client leaf public key | The identity the Mac presents | Yes, this is the field's subject |
| Issuer signature algorithm | How the client certificate was signed | No |
| Gateway certificate | What the Mac validates as the peer | No, check it separately |
| IKE and ESP proposals | Algorithms for the tunnel | No, separate proposal settings |
Os yw gwyliwr tystysgrifau yn dangos llofnod ECDSA gan y CA, mae hynny'n disgrifio allwedd lofnodi'r cyhoeddwr. Gall allwedd y cleient ei hun fod yn RSA o hyd, a dylai'r maes math ddilyn allwedd y cleient yn hytrach na'r llinell llofnod. Mae'r un dryswch hwn yn egluro llawer o adroddiadau "mae ECDSA wedi'i ffurfweddu ond mae'r cysylltiad yn methu". Cymharwch y math allwedd yn y ddalen â'r math a ddewiswyd yn y proffil cyn newid unrhyw beth.
Mae'r penderfyniad yn symlach unwaith y nodir y ddalen: ECDSA256 ar gyfer allwedd cleient p-256, math arall a gefnogir ar gyfer allwedd wahanol. Os nad yw tystysgrif y cleient a'i hallwedd yn cyfateb, trwsiwch y pâr hwnnw cyn newid y proffil VPN.
Mae tystysgrif y porth yn benderfyniad ar wahân
Mae'r porth yn cyflwyno ei dystysgrif ei hun ac mae'r Mac yn ei dilysu yn erbyn angor ymddiriedaeth ac enw disgwyliedig. P'un a yw'r dystysgrif honno'n defnyddio ECDSA, RSA neu fath arall o allwedd, mae'n briodwedd o'r gweinydd, nid o'r tegfedd hunaniaeth cleient.
Nid yw cefnogaeth leol i dystysgrif cleient ECDSA yn profi y bydd pob tystysgrif porth, cromlin neu ffurfweddiad dilysu gweinydd yn cydweithio. Gwiriwch hunaniaeth y gweinydd, ei gadwyn a'i ddull dilysu IKE fel mewnbynnau ar wahân, a phrofwch gyda'r proffil a ddefnyddir mewn gwirionedd.
Os tystysgrif y porth yw'r broblem, mae'r symptom fel arfer yn ymddangos wrth ddilysu'r cymar yn hytrach nag wrth ddewis hunaniaeth. Darllenwch y cam methu cyn newid math y cleient, oherwydd nid yw methiant ymddiriedaeth a chamgymharu allwedd y cleient yn rhannu un atgyweiriad.
Nid llofnod y cyhoeddwr na'r grŵp cytuno allweddi yw math y cleient
Mae X.509 yn cadw allwedd gyhoeddus y pwnc a llofnod y cyhoeddwr mewn meysydd gwahanol. Mae gwybodaeth allwedd gyhoeddus y pwnc yn disgrifio'r allwedd yn y dystysgrif; mae'r algorithm llofnodi yn disgrifio allwedd y CA a'r weithred lofnodi. Dim ond yr un cyntaf sy'n cyfateb i'r tegfedd math tystysgrif.
Mae cynigion IKE a Child SA yn echel arall. Nid yw math tystysgrif ECDSA yn ddewis amgryptio ESP, ac nid yw newid y grŵp cytuno allweddi yn dewis math tystysgrif. Gall proffil fod â chynigion dilys a math hunaniaeth anghywir, neu'r math hunaniaeth cywir a chynnig y mae'r cymar yn ei wrthod.
Cadwch y tair llinell ar wahân yn y cofnod newid: tystysgrif a allwedd hunaniaeth, mewnbynnau ymddiriedaeth y porth, a algorithmau'r cynigion. Mae eu cyfuno mewn un nodyn "tegfeydd crypto" yn gwneud y methiant nesaf yn amhosibl ei briodoli.
Gwiriwch y penderfyniad gyda'r meysydd a ffurfweddwyd gennych
Gwiriwch yr hunaniaeth y mae'r proffil yn cyfeirio ati mewn gwirionedd, yna cadarnhewch fod gan y dystysgrif yn y cyfeiriad hwnnw yr allwedd gyhoeddus ddisgwyliedig ac allwedd breifat y gellir ei defnyddio. Rhaid i'r math a ddangosir yn y rhyngwyneb, y dystysgrif a gyfeirir ati a'r allwedd ar y ddyfais gytuno.
Nesaf cadarnhewch fewnbynnau'r porth: enw disgwyliedig y gweinydd, yr angor ymddiriedaeth a dull dilysu IKE. Yn olaf, cysylltwch a darllenwch ble mae'r handshake yn stopio. Mae methiant cyn cyfnewid hunaniaeth yn pwyntio oddi wrth y tegfedd hwn; mae methiant wrth ddilysu'r cymar yn pwyntio at ochr y porth.
Cofnodwch y math a ddewiswyd, y cyfeiriad hunaniaeth a phwnc tystysgrif y porth yn y nodiadau defnyddio. Gall y diweddariad proffil nesaf newid unrhyw un ohonynt, ac mae tri gwerth a enwir yn gyflymach i'w cymharu na sgrinlun o banel tegfeydd.