Mewngofnodi VPN â thystysgrif ar Mac: hunaniaeth, defnyddio allwedd neu ymddiriedaeth porth?

Mae mewngofnodi VPN sy’n seiliedig ar dystysgrif yn gofyn i’r Mac am rywbeth mwy cul na chyfrinair: defnyddia’r allwedd breifat benodol hon, yn y cyd-destun gweithredu hwn, i brofi hunaniaeth i’r porth hwnnw. Pan fydd yn methu, dim ond y peth olaf a aeth o chwith y mae’r neges fel arfer yn ei ddisgrifio, ac anaml y rheini yw’r achos. Mae dilyn y tri phenderfyniad yn y drefn y mae’r system yn eu cymryd yn cadw’r diagnosis yn onest, ac yn atal problem caniatâd leol rhag cael ei thrin fel methiant dilysu cadwyn.

Dilynwch y mewngofnodi yn y drefn y mae’r Mac yn ei dilyn

Yn gyntaf mae’r cleient yn dewis hunaniaeth: tystysgrif wedi’i pharu ag allwedd breifat y gellir ei defnyddio, ar gael drwy’r storfa neu’r darparwr cymwysterau a gefnogir. Yna mae’r gydran VPN yn gofyn am wneud gweithrediad cryptograffig â’r allwedd honno, ac mae’r model awdurdodi lleol yn ateb. Dim ond ar ôl i’r ddau lwyddo y digwydd yr ysgwyd llaw o bell, lle mae’r Mac yn gwerthuso’r porth a’r porth yn gwerthuso prawf y cleient.

Darllenwch y tabl o’r brig i’r gwaelod a stopiwch ar y rhes gyntaf sy’n methu. Mae popeth o dan fethiant heb ei brofi, a dyna pam mae “nid yw’r dystysgrif yn cael ei hymddiried” yn gasgliad mor gyffredin ac mor annibynadwy.

Beth mae’r caniatâd lleol yn ei gynnwys mewn gwirionedd

Yn model cysylltyr allweddi macOS, mae eitemau gwarchodedig yn cario rheolau mynediad sy’n benodol i weithrediad a rhestr o raglenni a ymddiriedir ynddynt. Mae llofnodi ag allwedd breifat yn un o’r gweithrediadau hynny, ac mae’r rheolau’n gymwys i’r ffeil weithredu sy’n ei wneud, nid i’r dystysgrif fel dogfen. Mae cyfeirlyfr rheoli mynediad Apple hefyd yn tynnu llinell rhwng y model hwn a chysylltyr allweddi iCloud a threfniadau grwpiau mynediad, felly nid yw cyngor a ysgrifennwyd ar gyfer y naill yn trosglwyddo i’r llall.

Mae dau ganlyniad yn dilyn. Nid yw tystysgrif gyhoeddus yn ymddangos mewn rhestr yn profi y gall cydran gefndir y VPN gyrraedd yr allwedd honno o gwbl. Ac nid yw caniatâd a roddir i raglen flaen yn dweud dim am gynorthwyydd neu estyniad rhwydwaith ar wahân, oherwydd cod gwahanol â hunaniaethau gwahanol ydynt.

Nodwch y gweithrediad gwirioneddol a’i fecanwaith rhannu cymwysterau a gefnogir, yn lle copïo llwybr ffeil weithredu allan o hen gleient. Cadarnhewch pa hunaniaeth y bydd y system yn ei chynnig yn y lle cyntaf:

security find-identity -v -p ssl-client

Darllen y cod errSecInteractionNotAllowed

Mae’r statws hwnnw’n adrodd am ryngweithio gwaherddiedig â’r Gweinydd Diogelwch, ac nid yw’n dweud dim am gadwynau tystysgrifau. Darllenwch ef gyda’r gweithrediad a’i cynhyrchodd: bydd cais llofnodi a gyhoeddir o gyd-destun na all gyflwyno anogwr yn methu fel hyn hyd yn oed pan fo’r allwedd a’r dystysgrif ill dau’n hollol ddilys. Y gweithrediad a’i cofnododd, nid y storfa dystysgrifau, yw’r lle i ddechrau. Bydd unrhyw newid a wnewch i angorau ymddiriedaeth yn gadael y gwall yn union lle’r oedd.

Felly triniwch y cod fel rheswm dros archwilio cyd-destun gweithredu ac awdurdodiad. Mae ei drin fel tystiolaeth fod CA’r porth heb ei hymddiried yn eich anfon i’r hanner anghywir o’r broblem, ac ni fydd y newid a wnewch yno yn effeithio ar y gwall o gwbl.

Trwsiwch yn gul, nid yn fras

Dechreuwch gyda chyfarwyddiadau cofrestru neu fewnforio perchennog y cysylltiad. Cofnodwch fersiwn y cleient, cwmpas y proffil, yr hunaniaeth a ddewiswyd a’r gwall lleol perthnasol cyntaf, oherwydd y pedair ffaith hynny sydd eu hangen ar drosglwyddiad cymorth ac y mae cymhariaeth ddiweddarach yn dibynnu arnynt. Gall proffil a reolir neu hunaniaeth â chefnogaeth caledwedd fod angen i’r gweinyddwr neu’r darparwr drwsio’r trosglwyddiad, ac nid yw unrhyw faint o glicio lleol yn cymryd ei le.

Lle mae’r cynnyrch yn disgwyl cymeradwyaeth defnyddiwr, cadarnhewch pa gydran sy’n gofyn a chymeradwywch yr mynediad hwnnw’n unig drwy’r llif a gefnogir. Lle nad oes gan y gydran ffordd i godi anogwr yn y cyd-destun y mae’n rhedeg ynddo, rhaid i’r darpariaeth ddilyn y llwybr y mae’r gwerthwr yn ei ddogfennu, nid deialog a dynnwyd o ryw ffenestr derfynell arall.

Mewn hen gyngor, mae dau newid yn cael eu bwndelu gyda’i gilydd, ac mae’r ddau’n rhy eang. Mae rhoi mynediad i bob rhaglen at yr allwedd breifat yn ehangu defnydd lleol o’r allwedd ymhell y tu hwnt i’r gofyniad, ac mae gosod y dystysgrif i “Ymddiried bob amser” yn newid gwerthusiad tystysgrifau ar gyfer popeth ar y peiriant. Nid yw’r naill na’r llall yn mynegi “y gweithrediad VPN cymeradwy hwn, yn defnyddio’r hunaniaeth arfaethedig hon”.

Gwiriwch yn lleol cyn darllen y porth

Ar ôl trwsio, cadarnhewch fod y gweithrediad lleol yn llwyddo cyn i chi ddehongli unrhyw ymateb o’r ochr arall. Os yw llofnodi’n gweithio nawr, mae gwrthodiad dilynol o enw, cadwyn neu dderbyniad cleient yn ganlyniad newydd yn hytrach nag ailwaith, ac mae’n perthyn i benderfyniad gwahanol â pherchennog gwahanol.

Mae trosglwyddiad defnyddiol yn enwi pa un o’r tri phenderfyniad a fethodd ac yn stopio yno. Nid yw byth yn cynnwys yr allwedd breifat, ac nid yw byth yn ailosod eitemau cysylltyr allweddi diberthyn yn y gobaith y bydd llechen lân yn helpu. Gosodwch y ddau arfer hynny cyn y digwyddiad yn hytrach nag yn ystod, pan fo’r demtasiwn i roi cynnig ar bopeth ar unwaith ar ei gryfaf. Nid yw tocyn sy’n dweud “ailadeiladwyd y cysylltyr allweddi” yn dweud fawr ddim wrth y darllenydd nesaf am y diffyg gwreiddiol.