Mac IKEv2 ECDSA: Welcher Zertifikatstyp gehört zum Client?
Auf einem Mac beschreibt ECDSA256 in den IKEv2-Einstellungen das lokale Identitätszertifikat, nicht das Gateway oder die Signatur des Ausstellers. Lesen Sie jede Rolle, bevor Sie wählen.
Unter macOS beantwortet die ECDSA-Auswahl in einer IKEv2-Clienteinstellung eine enge Frage: Welches Zertifikat belegt die Identität des Mac. Sie beschreibt weder das Gateway-Zertifikat noch die Signatur, die das Clientzertifikat ausgestellt hat, noch den Verschlüsselungsvorschlag für den Tunnel. Diese vier Rollen als eine einzige Kompatibilitätsfrage zu behandeln, führt dazu, dass eine korrekte lokale Einstellung für eine serverseitige Abweichung verantwortlich gemacht wird. Die Entscheidung ist klein, aber die Belege, auf denen sie beruht, müssen präzise sein.
Das Feld benennt ein Zertifikat: die lokale Identität
Apples Network Extension API stellt einen Zertifikatstyp für die Client-Anmeldeinformationen bereit, darunter NEVPNIKEv2CertificateType.ECDSA256, dokumentiert als Zertifikatstyp ECDSA p-256. Die Eigenschaft gilt für das Zertifikat, das über identityReference oder identityData bereitgestellt wird.
Das heißt, die Entscheidung betrifft das Zertifikat, das der Mac vorlegt, samt dem zugehörigen privaten Schlüssel. Wählen Sie den Typ, der zum öffentlichen Schlüssel dieses Endzertifikats passt, und stellen Sie die Identität über den unterstützten Mechanismus bereit. Hat der Mac keinen nutzbaren privaten Schlüssel für die Identität, kann die Typwahl die Verbindung nicht retten.
Verwaltete Profile treffen dieselbe Entscheidung über CertificateType der IKEv2-Nutzlast, zusammen mit einer Zertifikatsreferenz wie PayloadCertificateUUID. Diese Felder haben Voraussetzungen und ein Schema für die Ziel-Betriebssystemversion; ein nackter Typwert, der in ein Profil kopiert wird, ist nicht installierbar, und ein Einstellungsfenster zeigt möglicherweise nicht jede API-Option. Prüfen Sie die Voraussetzungen der Nutzlast für diese Version vor dem Rollout.
Entscheiden Sie nach Rolle, nicht nach dem Zertifikatslabel
Lesen Sie das Feld, das Sie ändern wollen, und fragen Sie, auf welches Zertifikat es zeigt. Die Bezeichnungen in einer Zertifikatsansicht vermischen Subjekt, Aussteller und Signaturalgorithmus, und nur eine davon gehört zur Wahl der Client-Identität.
| What you inspected | What it controls | Does it choose the Mac certificate type? |
|---|---|---|
| Client leaf public key | The identity the Mac presents | Yes, this is the field's subject |
| Issuer signature algorithm | How the client certificate was signed | No |
| Gateway certificate | What the Mac validates as the peer | No, check it separately |
| IKE and ESP proposals | Algorithms for the tunnel | No, separate proposal settings |
Zeigt die Zertifikatsansicht eine ECDSA-Signatur der CA, beschreibt das den Signaturschlüssel des Ausstellers. Der eigene Schlüssel des Clients kann weiterhin RSA sein, und das Typfeld sollte dem Client-Schlüssel folgen, nicht der Signaturzeile. Diese eine Verwechslung erklärt viele Meldungen der Art "ECDSA ist konfiguriert, aber die Verbindung schlägt fehl". Vergleichen Sie den Schlüsseltyp im Endzertifikat mit dem im Profil gewählten Typ, bevor Sie etwas ändern.
Die Entscheidung wird einfacher, sobald das Endzertifikat bestimmt ist: ECDSA256 für einen p-256-Clientschlüssel, ein anderer unterstützter Typ für einen abweichenden Schlüssel. Passen Clientzertifikat und Schlüssel nicht zusammen, bringen Sie dieses Paar in Ordnung, bevor Sie das VPN-Profil ändern.
Das Gateway-Zertifikat ist eine eigene Entscheidung
Das Gateway legt sein eigenes Zertifikat vor, und der Mac validiert es gegen einen Vertrauensanker und einen erwarteten Namen. Ob dieses Zertifikat ECDSA, RSA oder einen anderen Schlüsseltyp verwendet, ist eine Eigenschaft des Servers, nicht der Einstellung für die Client-Identität.
Die lokale Unterstützung eines ECDSA-Clientzertifikats belegt nicht, dass jedes Gateway-Zertifikat, jede Kurve oder jede Serverauthentifizierungskonfiguration zusammenarbeitet. Prüfen Sie die Identität des Servers, seine Kette und seine IKE-Authentifizierungsmethode als getrennte Eingaben und testen Sie mit dem Profil, das tatsächlich ausgerollt wird.
Ist das Gateway-Zertifikat das Problem, tritt das Symptom meist während der Peer-Validierung auf und nicht bei der Identitätswahl. Lesen Sie die Fehlerstufe, bevor Sie den Clienttyp ändern, denn ein Vertrauensfehler und eine Abweichung beim Client-Schlüssel haben keine gemeinsame Lösung.
Ausstellersignatur und Schlüsselvereinbarungsgruppe sind nicht der Clienttyp
X.509 hält den öffentlichen Schlüssel des Subjekts und die Signatur des Ausstellers in getrennten Feldern. Die Informationen zum öffentlichen Schlüssel des Subjekts beschreiben den Schlüssel im Zertifikat; der Signaturalgorithmus beschreibt den Schlüssel der CA und den Signiervorgang. Nur ersteres passt zur Einstellung des Zertifikatstyps.
Die IKE- und Child-SA-Vorschläge sind eine andere Achse. Ein ECDSA-Zertifikatstyp ist keine ESP-Verschlüsselungswahl, und das Ändern der Schlüsselvereinbarungsgruppe wählt keinen Zertifikatstyp. Ein Profil kann gültige Vorschläge und den falschen Identitätstyp haben oder den richtigen Identitätstyp und einen Vorschlag, den der Peer ablehnt.
Halten Sie die drei Zeilen im Änderungsprotokoll getrennt: Identitätszertifikat und Schlüssel, Vertrauenseingaben des Gateways und Vorschlagsalgorithmen. Sie in einer Notiz zu "Krypto-Einstellungen" zusammenzufassen, macht den nächsten Fehler nicht mehr zuordenbar.
Prüfen Sie die Entscheidung an den konfigurierten Feldern
Prüfen Sie die Identität, auf die das Profil tatsächlich verweist, und bestätigen Sie dann, dass das Zertifikat an dieser Referenz den erwarteten öffentlichen Schlüssel und einen nutzbaren privaten Schlüssel hat. Der angezeigte Typ in der Oberfläche, das referenzierte Zertifikat und der Schlüssel auf dem Gerät müssen übereinstimmen.
Bestätigen Sie als Nächstes die Gateway-Eingaben: den erwarteten Servernamen, den Vertrauensanker und die IKE-Authentifizierungsmethode. Verbinden Sie sich schließlich und lesen Sie, wo der Handshake stoppt. Ein Fehler vor dem Identitätsaustausch zeigt weg von dieser Einstellung; ein Fehler bei der Peer-Validierung zeigt auf die Gateway-Seite.
Notieren Sie den gewählten Typ, die Identitätsreferenz und das Subjekt des Gateway-Zertifikats in den Rollout-Notizen. Die nächste Profilaktualisierung kann jedes davon ändern, und drei benannte Werte sind schneller zu vergleichen als ein Screenshot eines Einstellungsbereichs.