Mac IKEv2 ECDSA: ποιος τύπος πιστοποιητικού ανήκει στον πελάτη;

Στο macOS, η επιλογή ECDSA σε μια ρύθμιση πελάτη IKEv2 απαντά σε ένα στενό ερώτημα: ποιο πιστοποιητικό αποδεικνύει την ταυτότητα του Mac. Δεν περιγράφει το πιστοποιητικό της πύλης, την υπογραφή που εξέδωσε το πιστοποιητικό του πελάτη, ούτε την πρόταση κρυπτογράφησης για τη σήραγγα. Το να αντιμετωπίζονται αυτοί οι τέσσερις ρόλοι ως ένα μόνο ερώτημα συμβατότητας είναι ο τρόπος με τον οποίο μια σωστή τοπική ρύθμιση κατηγορείται για ασυμφωνία στην πλευρά του διακομιστή. Η απόφαση είναι μικρή, αλλά τα στοιχεία που τη στηρίζουν πρέπει να είναι ακριβή.

Το πεδίο ονομάζει ένα πιστοποιητικό: την τοπική ταυτότητα

Το Network Extension API της Apple εκθέτει έναν τύπο πιστοποιητικού για τα διαπιστευτήρια του πελάτη, συμπεριλαμβανομένου του NEVPNIKEv2CertificateType.ECDSA256, τεκμηριωμένου ως ο τύπος πιστοποιητικού ECDSA p-256. Η ιδιότητα ισχύει για το πιστοποιητικό που παρέχεται μέσω identityReference ή identityData.

Αυτό σημαίνει ότι η απόφαση αφορά το πιστοποιητικό που παρουσιάζει το Mac, μαζί με το ιδιωτικό κλειδί που το συνοδεύει. Επιλέξτε τον τύπο που ταιριάζει με το δημόσιο κλειδί αυτού του τελικού πιστοποιητικού και παραδώστε την ταυτότητα μέσω του υποστηριζόμενου μηχανισμού. Αν το Mac δεν έχει χρησιμοποιήσιμο ιδιωτικό κλειδί για την ταυτότητα, η επιλογή τύπου δεν μπορεί να σώσει τη σύνδεση.

Τα διαχειριζόμενα προφίλ λαμβάνουν την ίδια απόφαση μέσω του CertificateType του φορτίου IKEv2, σε συνδυασμό με μια αναφορά πιστοποιητικού όπως το PayloadCertificateUUID. Αυτά τα πεδία έχουν προαπαιτούμενα και σχήμα για την έκδοση του λειτουργικού συστήματος προορισμού· μια γυμνή τιμή τύπου που αντιγράφεται σε ένα προφίλ δεν εγκαθίσταται, και ένα παράθυρο ρυθμίσεων μπορεί να μην εκθέτει κάθε επιλογή του API. Ελέγξτε τα προαπαιτούμενα του φορτίου για αυτή την έκδοση πριν από την ανάπτυξη.

Αποφασίστε με βάση τον ρόλο, όχι την ετικέτα του πιστοποιητικού

Διαβάστε το πεδίο που πρόκειται να αλλάξετε και ρωτήστε σε ποιο πιστοποιητικό δείχνει. Οι ετικέτες σε ένα πρόγραμμα προβολής πιστοποιητικών αναμειγνύουν το υποκείμενο, τον εκδότη και τον αλγόριθμο υπογραφής, και μόνο μία από αυτές ανήκει στην επιλογή της ταυτότητας του πελάτη.

Αν το πρόγραμμα προβολής πιστοποιητικών δείχνει υπογραφή ECDSA από την CA, αυτό περιγράφει το κλειδί υπογραφής του εκδότη. Το ίδιο το κλειδί του πελάτη μπορεί να είναι ακόμη RSA, και το πεδίο τύπου πρέπει να ακολουθεί το κλειδί του πελάτη και όχι τη γραμμή υπογραφής. Αυτή η μία σύγχυση εξηγεί πολλές αναφορές του τύπου "το ECDSA είναι ρυθμισμένο αλλά η σύνδεση αποτυγχάνει". Συγκρίνετε τον τύπο κλειδιού στο τελικό πιστοποιητικό με τον τύπο που έχει επιλεγεί στο προφίλ πριν αλλάξετε οτιδήποτε.

Η απόφαση γίνεται απλούστερη μόλις προσδιοριστεί το τελικό πιστοποιητικό: ECDSA256 για κλειδί πελάτη p-256, άλλος υποστηριζόμενος τύπος για διαφορετικό κλειδί. Αν το πιστοποιητικό του πελάτη και το κλειδί του δεν ταιριάζουν, διορθώστε αυτό το ζεύγος πριν αλλάξετε το προφίλ VPN.

Το πιστοποιητικό της πύλης είναι ξεχωριστή απόφαση

Η πύλη παρουσιάζει το δικό της πιστοποιητικό και το Mac το επικυρώνει έναντι άγκυρας εμπιστοσύνης και αναμενόμενου ονόματος. Το αν αυτό το πιστοποιητικό χρησιμοποιεί ECDSA, RSA ή άλλο τύπο κλειδιού είναι ιδιότητα του διακομιστή, όχι της ρύθμισης ταυτότητας του πελάτη.

Η τοπική υποστήριξη πιστοποιητικού πελάτη ECDSA δεν αποδεικνύει ότι κάθε πιστοποιητικό πύλης, καμπύλη ή διαμόρφωση ελέγχου ταυτότητας διακομιστή θα συνεργαστεί. Ελέγξτε την ταυτότητα του διακομιστή, την αλυσίδα του και τη μέθοδο ελέγχου ταυτότητας IKE ως ξεχωριστές εισόδους, και δοκιμάστε με το προφίλ που θα αναπτυχθεί πραγματικά.

Αν το πιστοποιητικό της πύλης είναι το πρόβλημα, το σύμπτωμα εμφανίζεται συνήθως κατά την επικύρωση του ομολόγου και όχι στην επιλογή ταυτότητας. Διαβάστε το στάδιο αποτυχίας πριν αλλάξετε τον τύπο του πελάτη, επειδή μια αποτυχία εμπιστοσύνης και μια ασυμφωνία κλειδιού πελάτη δεν έχουν κοινή διόρθωση.

Η υπογραφή του εκδότη και η ομάδα συμφωνίας κλειδιών δεν είναι ο τύπος του πελάτη

Το X.509 κρατά το δημόσιο κλειδί του υποκειμένου και την υπογραφή του εκδότη σε διαφορετικά πεδία. Οι πληροφορίες δημόσιου κλειδιού του υποκειμένου περιγράφουν το κλειδί στο πιστοποιητικό· ο αλγόριθμος υπογραφής περιγράφει το κλειδί της CA και τη διαδικασία υπογραφής. Μόνο το πρώτο ταιριάζει με τη ρύθμιση τύπου πιστοποιητικού.

Οι προτάσεις IKE και Child SA είναι άλλος άξονας. Ένας τύπος πιστοποιητικού ECDSA δεν είναι επιλογή κρυπτογράφησης ESP, και η αλλαγή της ομάδας συμφωνίας κλειδιών δεν επιλέγει τύπο πιστοποιητικού. Ένα προφίλ μπορεί να έχει έγκυρες προτάσεις και λάθος τύπο ταυτότητας, ή τον σωστό τύπο ταυτότητας και μια πρόταση που το ομόλογο απορρίπτει.

Κρατήστε τις τρεις γραμμές ξεχωριστές στο μητρώο αλλαγών: πιστοποιητικό ταυτότητας και κλειδί, είσοδοι εμπιστοσύνης της πύλης και αλγόριθμοι των προτάσεων. Η συγχώνευσή τους σε ένα σημείωμα "ρυθμίσεις κρυπτογράφησης" καθιστά την επόμενη αποτυχία αδύνατη να αποδοθεί.

Επαληθεύστε την απόφαση με τα πεδία που ρυθμίσατε

Ελέγξτε την ταυτότητα στην οποία αναφέρεται πραγματικά το προφίλ και μετά επιβεβαιώστε ότι το πιστοποιητικό σε αυτή την αναφορά έχει το αναμενόμενο δημόσιο κλειδί και ένα χρησιμοποιήσιμο ιδιωτικό κλειδί. Ο τύπος που εμφανίζεται στη διεπαφή, το πιστοποιητικό αναφοράς και το κλειδί στη συσκευή πρέπει να συμφωνούν.

Στη συνέχεια επιβεβαιώστε τις εισόδους της πύλης: το αναμενόμενο όνομα διακομιστή, την άγκυρα εμπιστοσύνης και τη μέθοδο ελέγχου ταυτότητας IKE. Τέλος, συνδεθείτε και διαβάστε πού σταματά η χειραψία. Μια αποτυχία πριν από την ανταλλαγή ταυτοτήτων δείχνει μακριά από αυτή τη ρύθμιση· μια αποτυχία στην επικύρωση του ομολόγου δείχνει προς την πλευρά της πύλης.

Καταγράψτε τον επιλεγμένο τύπο, την αναφορά ταυτότητας και το υποκείμενο του πιστοποιητικού της πύλης στις σημειώσεις ανάπτυξης. Η επόμενη ενημέρωση προφίλ μπορεί να αλλάξει οποιοδήποτε από αυτά, και τρεις ονομασμένες τιμές συγκρίνονται γρηγορότερα από ένα στιγμιότυπο οθόνης ενός πίνακα ρυθμίσεων.