Mac IKEv2 ECDSA: milline sertifikaaditüüp kuulub kliendile?
Macis kirjeldab ECDSA256 IKEv2 seadetes kohalikku identiteedisertifikaati, mitte lüüsi või väljaandja allkirja. Enne valimist lugege iga rolli.
MacOS-is vastab ECDSA valik IKEv2 kliendi seadetes kitsale küsimusele: milline sertifikaat tõestab Maci identiteeti. See ei kirjelda lüüsi sertifikaati, kliendisertifikaadi välja andnud allkirja ega tunnelile mõeldud krüpteerimisettepanekut. Nende nelja rolli käsitlemine ühe ühilduvusküsimusena on see, kuidas õige kohalik seade saab süü serveripoolse mittevastavuse eest. Otsus on väike, kuid selle tegemiseks kasutatavad tõendid peavad olema täpsed.
Väli nimetab ühte sertifikaati: kohalik identiteet
Apple'i Network Extension API pakub kliendi mandaadi jaoks sertifikaaditüübi, sealhulgas NEVPNIKEv2CertificateType.ECDSA256, mida dokumenteeritakse kui ECDSA p-256 sertifikaaditüüp. Atribuut kehtib sertifikaadi kohta, mis on edastatud identityReference või identityData kaudu.
See tähendab, et otsus puudutab sertifikaati, mille Mac esitab, ja sellega kaasnevat privaatvõtit. Valige tüüp, mis vastab selle lehtsertifikaadi avalikule võtmele, ja edastage identiteet toetatud mehhanismi kaudu. Kui Macil pole identiteedi jaoks kasutatavat privaatvõtit, ei päästa tüübi valik ühendust.
Hallatavad profiilid teevad sama otsuse IKEv2 kandevõime CertificateType kaudu koos sertifikaadiviitega, näiteks PayloadCertificateUUID. Nendel väljadel on eeltingimused ja skeem siht-OS-i versiooni jaoks; profiili kopeeritud paljas tüübiväärtus ei ole paigaldatav ja seadete aken ei pruugi kuvada iga API valikut. Enne juurutamist kontrollige selle versiooni kandevõime eeltingimusi.
Otsustage rolli, mitte sertifikaadi sildi järgi
Lugege välja, mida kavatsete muuta, ja küsige, millisele sertifikaadile see osutab. Sertifikaadivaaturi sildid segavad subjekti, väljaandja ja allkirja algoritmi ning ainult üks neist kuulub kliendi identiteedi valiku juurde.
| What you inspected | What it controls | Does it choose the Mac certificate type? |
|---|---|---|
| Client leaf public key | The identity the Mac presents | Yes, this is the field's subject |
| Issuer signature algorithm | How the client certificate was signed | No |
| Gateway certificate | What the Mac validates as the peer | No, check it separately |
| IKE and ESP proposals | Algorithms for the tunnel | No, separate proposal settings |
Kui sertifikaadivaatur näitab CA ECDSA allkirja, kirjeldab see väljaandja allkirjastamisvõtit. Kliendi enda võti võib endiselt olla RSA, ja tüübiväli peaks järgima kliendi võtit, mitte allkirja rida. See üks segadus seletab paljusid teateid "ECDSA on seadistatud, kuid ühendus ebaõnnestub". Enne millegi muutmist võrrelge lehe võtmetüüpi profiilis valitud tüübiga.
Otsus muutub lihtsamaks, kui leht on tuvastatud: ECDSA256 p-256 kliendivõtme jaoks, teine toetatud tüüp erineva võtme jaoks. Kui kliendisertifikaat ja selle võti ei ühti, parandage see paar enne VPN-profiili muutmist.
Lüüsi sertifikaat on eraldi otsus
Lüüs esitab oma sertifikaadi ja Mac valideerib selle usaldusankru ja eeldatava nime vastu. Kas see sertifikaat kasutab ECDSA, RSA või muud võtmetüüpi, on serveri omadus, mitte kliendi identiteedi seade.
Kohalik tugi ECDSA kliendisertifikaadile ei tõesta, et iga lüüsi sertifikaat, kõver või serveri autentimise konfiguratsioon koostalitlusvõimeline on. Kontrollige serveri identiteeti, selle ahelat ja IKE autentimismeetodit eraldi sisenditena ning testige profiiliga, mis tegelikult juurutatakse.
Kui probleem on lüüsi sertifikaat, ilmneb sümptom tavaliselt partneri valideerimisel, mitte identiteedi valikul. Lugege tõrkestaaž enne kliendi tüübi muutmist, sest usalduse tõrge ja kliendivõtme mittevastavus ei jaga sama parandust.
Väljaandja allkiri ja võtme kokkuleppe rühm ei ole kliendi tüüp
X.509 hoiab subjekti avalikku võtit ja väljaandja allkirja eri väljadel. Subjekti avaliku võtme teave kirjeldab sertifikaadis olevat võtit; allkirja algoritm kirjeldab CA võtit ja allkirjastamistoimingut. Ainult esimene vastab sertifikaaditüübi seadele.
IKE ja Child SA ettepanekud on teine telg. ECDSA sertifikaaditüüp ei ole ESP krüpteerimise valik ja võtme kokkuleppe rühma muutmine ei vali sertifikaaditüüpi. Profiilis võivad olla kehtivad ettepanekud ja vale identiteeditüüp või õige identiteeditüüp ja ettepanek, mille partner tagasi lükkab.
Hoidke kolm rida muudatuste kirjes eraldi: identiteedisertifikaat ja võti, lüüsi usaldussisendid ja ettepanekute algoritmid. Nende ühendamine üheks "krüpto seaded" märkuseks muudab järgmise tõrke omistamise võimatuks.
Kontrollige otsust seadistatud väljadega
Kontrollige identiteeti, millele profiil tegelikult viitab, seejärel kinnitage, et selle viite sertifikaadil on eeldatav avalik võti ja kasutatav privaatvõti. Kasutajaliideses kuvatav tüüp, viidatud sertifikaat ja seadmes olev võti peavad ühtima.
Seejärel kinnitage lüüsi sisendid: eeldatav serveri nimi, usaldusankur ja IKE autentimismeetod. Lõpuks looge ühendus ja lugege, kus käepigistus peatub. Tõrge enne identiteedivahetust osutab sellest seadest eemale; tõrge partneri valideerimisel osutab lüüsi poole.
Märkige valitud tüüp, identiteediviide ja lüüsi sertifikaadi subjekt juurutamismärkmetesse. Järgmine profiiliuuendus võib muuta ükskõik millist neist ning kolme nimetatud väärtust on kiirem võrrelda kui seadete paneeli ekraanipilti.