Certys VPN ar Mac: pam mae’r dewisydd hunaniaeth yn aros yn wag

Fe wnaethoch osod y certys, mae’n ymddangos yn Keychain Access gydag enw cyfeillgar, ac mae dewisydd hunaniaeth y cleient VPN yn dal yn wag. Nid yw’r cleient yn chwilio am certys. Mae’n chwilio am hunaniaeth: certys wedi’i baru â’r allwedd breifat sy’n gallu profi meddiant, wedi’i storio lle mae’r cleient yn cael darllen.

Yr hyn y mae’r cleient yn gofyn amdano yw hunaniaeth

Mae fframwaith diogelwch Apple yn trin certys a hunaniaeth fel dau wrthrych gwahanol. Data cyhoeddus yw certys. Yr hunaniaeth yw’r certys hwnnw ynghyd â’i allwedd breifat, a’r hunaniaeth yn unig all gwblhau her. Yn y cyfamser, mae certys CA ymddiriedus yn gadael i gleient werthuso dyroddwr; nid yw’n gwneud y peiriant yn ddeiliad tystlythyr cleient a ddyroddwyd.

Dyna pam nad yw mewnforio ffeil .cer byth yn cynhyrchu hunaniaeth cleient y gellir ei defnyddio. Dim ond deunydd cyhoeddus sydd yn y ffeil, ac nid yw unrhyw ail-enwi na rhoddi ymddiried yn ei throi’n bâr allwedd.

Tri rheswm pam mae’r dewisydd yn aros yn wag

Y cyntaf yw allwedd breifat sydd ar goll, sy’n golygu na chyflwynodd y broses gofrestru neu fewnforio un. Yr ail yw storfa nad yw’r cleient yn ymgynghori â hi: mae proffil sy’n gysylltiedig â’r defnyddiwr yn chwilio yng nghadwyn allweddi’r defnyddiwr, ac efallai na fydd eitem a osodwyd mewn storfa system yn weladwy iddo. Y trydydd yw camgymhariad pwrpas neu bolisi, lle mae’r certys yn bodoli ond nad yw’n ddilys ar gyfer dilysu cleient o dan reolau’r defnydd.

security find-identity -v -p ssl-client

Mae hyn yn rhestru’r hunaniaethau y mae’r system yn eu hystyried yn ddilys ar gyfer dilysu cleient. Os yw’r cyfrif yn sero, mae’r broblem i fyny’r llif o’r cleient VPN ac ni fydd unrhyw olygu proffil yn ei thrwsio. Os yw’r hunaniaeth yn ymddangos yma ond nid yn y cleient, y gwahaniaeth yw storfa neu gwmpas y cleient.

Lle mae’r allwedd breifat yn byw, a phwy a gaiff ei defnyddio

Pan fyddwch yn mewnforio hunaniaeth drwy Keychain Access, mae’r deialog mewnforio yn cynnig cadwyn allweddi gyraedd. Pa gyrchfan sy’n gywir yn dibynnu ar y cleient ac ar a yw’r proffil yn gysylltiedig â’r defnyddiwr neu â’r ddyfais. Nid yw hen ateb sy’n argymell cadwyn allweddi’r system yn rheol gyffredinol, ac nid yw copïo eitemau rhwng storfeydd yn atgyweiriad.

Casgliad o ymddiried yw System Roots. Mae rhoi certys yno yn newid pa ddyroddwyr y mae’r system yn ymddiried ynddynt; nid yw’n creu allwedd breifat, ac nid yw’n storfa hunaniaeth. Symud certysau di-gysylltiad o gwmpas i lenwi dewisydd yw’r math o atgyweiriad sy’n gadael peiriant â set ymddiried wedi’i hehangu’n barhaol.

Mae mynediad i’r allwedd breifat yn rheolaeth ar wahân. Rhoi caniatâd i bob rhaglen ddefnyddio’r allwedd yn datrys problem dewis un cleient ac yn rhoi’r un gallu i bopeth arall ar y peiriant. Rhoiwch ef i’r cleient sydd ei angen, a gwiriwch a yw’r allwedd yn cael ei chefnogi gan galedwedd neu wedi’i marcio’n anallforadwy; os felly, rhaid defnyddio’r darparwr a gefnogir yn hytrach na chopi a allforiwyd.

Sut mae’r proffil yn cyfeirio at y tystlythyr

Mewn ffurfweddiad IKEv2 brodorol a reolir, mae’r proffil yn cyfeirio at ei lwyth tystlythyr drwy PayloadCertificateUUID. Yr hunaniaeth y cyfeirir ati a’r modd y cafodd ei darparu yw’r hyn sy’n bwysig; nid yw golygu enw arddangos yn y proffil yn atgyweirio cyfeiriad sy’n pwyntio at y llwyth anghywir neu at un na chyflwynodd allwedd erioed.

Gall darparwr trydydd parti ddefnyddio mecanwaith dethol hollol wahanol, fel ei storfa ei hun neu anogydd system. Darllenwch ddogfennaeth y darparwr hwnnw yn lle trosglwyddo rhagdybiaethau’r proffil brodorol, a gwiriwch y cyfeiriad yn y proffil sydd wedi’i osod mewn gwirionedd yn hytrach nag yn nrafft y consol rheoli.

Mae dewis a derbyn yn garreg filltir ar wahân

Mae dewisydd wedi’i lenwi yn golygu y gall y cleient ddod o hyd i hunaniaeth a’i defnyddio. Nid yw’n dweud dim am a fydd y porth yn ei derbyn. Mae’r gweinydd yn dal i wirio’r dyroddwr, y ffenestr ddilysrwydd, y statws dirymu, a mapio’r tystlythyr hwnnw i gyfrif.

Profwch y ddau gam yn benodol, yn y drefn honno. Cadarnhewch fod yr hunaniaeth yn cael ei chynnig, cysylltwch, ac yna gofynnwch i berchennog y porth gadarnhau pa dystlythyr a gyflwynwyd a pha reol fapio a’i defnyddiodd. Os yw’r cleient yn cynnig hunaniaeth ac mae’r gweinydd yn ei gwrthod, mae’r gwaith sy’n weddill ar ochr y gweinydd. Ni fydd ailosod y certys ar y Mac yn newid y canlyniad hwnnw, faint bynnag o weithiau y caiff ei ailadrodd.