Certificado VPN del Mac: ¿qué cuenta ve la pasarela?
La etiqueta del perfil, la credencial y el campo de cuenta responden a preguntas distintas. Siga el principal hasta el mapeo de la pasarela antes de renombrar nada.
El perfil muestra su nombre, la etiqueta visible del certificado dice otra cosa y el registro de la pasarela anota un tercer identificador. Ninguno miente, y ese es el problema: tres campos distintos se leen como si respondieran a una sola pregunta. La conexión presenta una credencial, un identificador IKEv2 y una cuenta, y la pasarela decide cuál de ellos autoriza qué.
Tres identidades en una conexión
El nombre visible del perfil es una etiqueta para personas. Selecciona una conexión y nada más. El certificado es una credencial, y que pueda demostrar algo depende de si el cliente tiene la clave privada correspondiente. El campo de cuenta es una afirmación sobre un principal, y el servidor es libre de asignarlo a otra identidad local.
Cuando falla la autenticación, pregunte a cuál de los tres se refiere el error. Una credencial rechazada, un identificador desconocido y una cuenta deshabilitada producen mensajes distintos, y tratarlos como un único «problema de certificado» le envía a la consola equivocada.
Lea los campos nativos según su función
En una configuración IKEv2 nativa gestionada, la referencia de carga de Apple separa los valores, y el método de autenticación decide qué combinación se requiere:
| Field | Identifies | Common misreading |
|---|---|---|
| AuthName | Username for the configured arrangement | Assuming it is the certificate subject |
| LocalIdentifier | IKEv2 client identifier | Assuming it must equal the username |
| PayloadCertificateUUID | Referenced credential payload | Assuming any installed certificate will do |
Un certificado y un inicio de sesión EAP pueden tener papeles distintos en la misma conexión. No obligue a cada campo a contener el mismo texto solo porque uno de ellos lo hace, y no suponga que cambiar uno anula los demás. Una aplicación VPN de terceros puede exponer un modelo completamente distinto; use su selección de identidad documentada en lugar de trasladar allí nombres de campo nativos.
Un certificado de servidor no es una identidad de cliente
El certificado que valida la pasarela es un anclaje de confianza. Demuestra que llegó al servidor que esperaba. Una identidad de cliente es un objeto distinto: incluye el acceso a la clave privada que demuestra que la parte que se conecta es quien dice ser. Renombrar una cuenta visible no puede convertir una en la otra.
Aquí es donde una corrección bien intencionada sale mal. Importar el certificado CA de la pasarela al almacén del cliente no hace nada por la autenticación del cliente, y etiquetar esa entrada con el nombre del usuario no la convierte en una identidad de usuario. Los dos objetos viven en partes distintas del perfil y responden a preguntas distintas.
Siga el principal hasta el mapeo de la pasarela
Confirme para qué se emitió la credencial: este usuario, este dispositivo o un rol compartido. La cuenta de inicio de sesión del Mac no es automáticamente ese principal, y un certificado copiado de otra máquina conserva la identidad de la máquina para la que se emitió.
Luego compare la credencial real, no la etiqueta. Emisor, número de serie y huella permiten a usted y al administrador confirmar que hablan del mismo objeto. Los nombres para mostrar son editables y se duplican con frecuencia, lo que los convierte en el peor identificador posible durante un incidente.
El último paso está en la pasarela. Pida a su propietario que correlacione una conexión con los identificadores presentados y con la regla de mapeo de cuentas que los consumió. Una etiqueta del lado del cliente no puede establecer qué decidió el servidor, y una regla que asigna un certificado a una cuenta deshabilitada fallará mientras todos los campos del cliente parecen correctos.
Repare la capa que posee el desajuste
Si el perfil apunta a la credencial equivocada, corrija su referencia o su selección. Si la credencial pertenece a otro principal, pase por la reinscripción del emisor en lugar de editar etiquetas. Si la pasarela vincula una credencial válida a la cuenta equivocada, su propietario de política debe corregir el mapeo. Son tres cambios distintos con tres aprobadores distintos.
La renovación merece el mismo cuidado. Cambiar el certificado, renombrar su etiqueta visible y mover a una persona entre sistemas de cuentas no afectan necesariamente el mapeo de la misma manera. Anote cuál de los tres cambió, porque el próximo fallo se verá idéntico desde el cliente y distinto en el registro de la pasarela.
Comparta solo los identificadores públicos mínimos que necesita el soporte. Una clave privada o un paquete completo de identidad nunca forma parte de ese intercambio, por cómodo que resulte para el diagnóstico.