Mac VPN-sertifikaat: millist kontot lüüs näeb?

Profiil näitab teie nime, sertifikaadi nähtav silt ütleb midagi muud ja lüüsi logi registreerib kolmanda identifikaatori. Ükski neist ei valeta ja just see on probleem: kolme erinevat välja loetakse nii, nagu vastaksid need ühele küsimusele. Ühendus esitab mandaadi, IKEv2 identifikaatori ja konto ning lüüs otsustab, milline neist mida volitab.

Kolm identiteeti ühes ühenduses

Nähtav profiilinimi on silt inimestele. See valib ühenduse ja ei midagi muud. Sertifikaat on mandaat ja see, kas see suudab midagi tõestada, sõltub sellest, kas kliendil on vastav privaatvõti. Konto väli on väide põhiisiku kohta ja server võib selle vastendada teise kohaliku identiteediga.

Kui autentimine ebaõnnestub, küsige, millisele kolmest viga viitab. Tagasi lükatud mandaat, tundmatu identifikaator ja keelatud konto tekitavad erinevaid teateid ning nende käsitlemine ühe «sertifikaadiprobleemina» saadab teid vale konsooli.

Lugege omaseid välju nende ülesande järgi

Hallatavas omases IKEv2 konfiguratsioonis eraldab Apple'i kasuliku koormuse viide väärtused ja autentimismeetod otsustab, millist kombinatsiooni on vaja:

Sertifikaadil ja EAP-sisselogimisel võivad samas ühenduses olla erinevad rollid. Ärge sundige iga välja hoidma sama teksti ainult seetõttu, et üks neist seda teeb, ja ärge eeldage, et ühe muutmine tühistab teised. Kolmanda osapoole VPN-rakendus võib pakkuda hoopis teistsugust mudelit; kasutage selle dokumenteeritud identiteedivalikut selle asemel, et kanda sinna omaseid väljanimesid.

Serveri sertifikaat ei ole kliendi identiteet

Lüüsi valideeriv sertifikaat on usaldusankur. See tõestab, et jõudsite serverisse, mida ootasite. Kliendi identiteet on teine objekt: see hõlmab juurdepääsu privaatvõtmele, mis tõestab, et ühenduv pool on see, kes ta väidab end olevat. Nähtava konto ümbernimetamine ei saa üht teiseks muuta.

Siin läheb heas usus parandus valesti. Lüüsi CA-sertifikaadi importimine kliendi hoidlasse ei tee kliendi autentimise jaoks midagi ning selle kirje märgistamine kasutaja nimega ei muuda seda kasutaja identiteediks. Need kaks objekti elavad profiili eri osades ja vastavad eri küsimustele.

Jälgige põhiisikut lüüsi vastenduseni

Kinnitage, mille jaoks mandaat välja anti: selle kasutaja, selle seadme või jagatud rolli jaoks. Maci sisselogimiskonto ei ole automaatselt see põhiisik ja teisest masinast kopeeritud sertifikaat säilitab selle masina identiteedi, mille jaoks see välja anti.

Seejärel võrrelge tegelikku mandaati, mitte silti. Väljaandja, seerianumber ja sõrmejälg võimaldavad teil ja administraatoril kinnitada, et räägite samast objektist. Kuvatavaid nimesid saab muuta ja neid dubleeritakse sageli, mis teeb neist intsidendi ajal halvima võimaliku identifikaatori.

Viimane samm on lüüsil. Paluge selle omanikul seostada üks ühendus esitatud identifikaatoritega ja kontode vastendusreegliga, mis need ära kasutas. Kliendipoolne silt ei saa kindlaks teha, mida server otsustas, ja reegel, mis vastendab sertifikaadi keelatud kontoga, ebaõnnestub, samal ajal kui kõik kliendipoolsed väljad näivad korrektsed.

Parandage kiht, millele lahknevus kuulub

Kui profiil osutab vale mandaadile, parandage selle viidet või valikut. Kui mandaat kuulub teisele põhiisikule, läbige väljaandja uusregistreerimine, selle asemel et silte muuta. Kui lüüs seob kehtiva mandaadi vale kontoga, peab selle poliitika omanik vastenduse parandama. Need on kolm erinevat muudatust kolme erineva kinnitajaga.

Uuendamine väärib sama hoolt. Sertifikaadi vahetamine, selle nähtava sildi ümbernimetamine ja inimese liigutamine kontosüsteemide vahel ei mõjuta vastendust tingimata samamoodi. Kirjutage üles, millist kolmest te muutsite, sest järgmine tõrge näeb kliendi poolelt välja identne ja lüüsi logis erinev.

Jagage ainult minimaalseid avalikke identifikaatoreid, mida tugi vajab. Privaatvõti või täielik identiteedipakk ei ole kunagi selle vahetuse osa, ükskõik kui mugavaks see diagnoosi teeks.