Mac VPN-sert: miks identiteedi valija jääb tühjaks
Klient vajab sertifikaati koos oma privaatvõtmega, hoidlas, mida ta loeb. Kontrolli esmalt identiteeti ja seejärel, kas lüüs selle vastu võtab.
Sa paigaldasid sertifikaadi, see kuvatakse Keychain Accessis sõbraliku nimega ja VPN-kliendi identiteedi valija on ikka tühi. Klient ei otsi sertifikaati. Ta otsib identiteeti: sertifikaati, mis on paaris privaatvõtmega, mis suudab tõestada valdust, ja mis on hoiustatud seal, kus kliendil on lubatud seda lugeda.
See, mida klient küsib, on identiteet
Apple'i turbekark käsitleb sertifikaati ja identiteeti erinevate objektidena. Sertifikaat on avalikud andmed. Identiteet on see sertifikaat koos oma privaatvõtmega ja ainult identiteet suudab väljakutse lõpule viia. Usaldusväärne CA-sertifikaat seevastu võimaldab kliendil hinnata väljaandjat; see ei tee masinast väljastatud kliendi mandaadi valdajat.
| Item | What it can do | What it cannot do |
|---|---|---|
| CA or server certificate | Validate the gateway's chain | Authenticate this client |
| Client certificate without key | Nothing for authentication | Prove possession of anything |
| Identity (cert plus key) | Answer the authentication challenge | Guarantee the gateway accepts it |
Seepärast ei anna faili .cer importimine kunagi kasutatavat kliendi identiteeti. Fail sisaldab ainult avalikku materjali ja ükski ümbernimetamine ega usaldamine ei tee sellest võtmepaari.
Kolm põhjust, miks valija jääb tühjaks
Esimene on puuduv privaatvõti, mis tähendab, et registreerimis- või impordiprotsess ei andnud seda. Teine on hoidla, mida klient ei kontrolli: kasutajatasandi profiil vaatab kasutaja võtmehoidlasse ja süsteemihoidlasse pandud üksus võib olla sellele nähtamatu. Kolmas on otstarbe või poliitika mittevastavus, kus sertifikaat on olemas, kuid ei kehti kliendi autentimiseks juurutuse reeglite järgi.
security find-identity -v -p ssl-clientSee loetleb identiteedid, mida süsteem peab kliendi autentimiseks kehtivaks. Kui arv on null, on probleem VPN-kliendist ülesvoolu ja ükski profiilimuudatus ei paranda seda. Kui identiteet ilmub siin, kuid mitte kliendis, on erinevus kliendi hoidlas või ulatuses.
Kus privaatvõti asub ja kes tohib seda kasutada
Kui impordid identiteedi Keychain Accessi kaudu, pakub impordidialoog sihtvõtmehoidlat. Milline siht on õige, sõltub kliendist ja sellest, kas profiil on kasutaja- või seadmetasandil. Vana vastus, mis soovitab süsteemi võtmehoidlat, ei ole universaalne reegel ja üksuste kopeerimine hoidlate vahel ei ole parandus.
System Roots on usalduskogu. Sertifikaadi sinna panemine muudab seda, milliseid väljaandjaid süsteem usaldab; see ei loo privaatvõtit ja see ei ole identiteedihoidla. Sõltumatute sertifikaatide ringiliigutamine valija täitmiseks on selline parandus, mis jätab masinale püsivalt laiendatud usaldushulga.
Juurdepääs privaatvõtmele on eraldi juhtimine. Kõigile rakendustele võtme kasutamise loa andmine lahendab ühe kliendi valikuprobleemi ja annab sama võime kõigele muule masinas. Anna see kliendile, kes seda vajab, ja kontrolli, kas võti on riistvaraliselt tagatud või märgitud mitteeksporditavaks; kui jah, tuleb kasutada toetatud pakkujat, mitte eksporditud koopiat.
Kuidas profiil mandaadile osutab
Hallatavas natiivses IKEv2-konfiguratsioonis viitab profiil oma mandaadi kandele PayloadCertificateUUID kaudu. Viidatud identiteet ja selle hankimise viis on see, mis loeb; kuvanime muutmine profiilis ei paranda viidet, mis osutab valele kandele või sellisele, mis ei andnud kunagi võtit.
Kolmanda osapoole pakkuja võib kasutada täiesti erinevat valikumehhanismi, näiteks oma hoidlat või süsteemset viipa. Loe selle pakkuja dokumentatsiooni, mitte ära kanna üle natiivprofiili eeldusi, ja kontrolli viidet profiilis, mis on tegelikult paigaldatud, mitte halduskonsooli mustandis.
Valik ja aktsepteerimine on eraldi verstapostid
Täidetud valija tähendab, et klient suudab identiteedi leida ja seda kasutada. See ei ütle midagi selle kohta, kas lüüs selle vastu võtab. Server kontrollib endiselt väljaandjat, kehtivusakent, tühistamise olekut ja selle mandaadi vastendamist kontoga.
Kontrolli mõlemat etappi selgesõnaliselt, selles järjekorras. Kinnita, et identiteeti pakutakse, ühenda ja seejärel lase lüüsi omanikul kinnitada, milline mandaat esitati ja milline vastendusreegel seda tarbis. Kui klient pakub identiteeti ja server lükkab selle tagasi, on ülejäänud töö serveri poolel. Sertifikaadi Maci uuesti paigaldamine ei muuda seda tulemust, ükskõik kui mitu korda seda korratakse.