Mac IKEv2 ECDSA: zein ziurtagiri-mota dagokio bezeroari?
Mac batean, IKEv2 ezarpenetako ECDSA256 tokiko identitate-ziurtagiria deskribatzen du, ez atebidea edo emailearen sinadura. Irakurri rol bakoitza aukeratu aurretik.
macOS-en, IKEv2 bezero-ezarpen bateko ECDSA hautaketak galdera estu bati erantzuten dio: zein ziurtagirik frogatzen du Mac-aren identitatea. Ez ditu deskribatzen atebidearen ziurtagiria, bezero-ziurtagiria eman zuen sinadura ezta tunelaren zifratze-proposamena ere. Lau rol horiek bateragarritasun-galdera bakar bat balira bezala tratatzea da tokiko ezarpen zuzena zerbitzariaren aldeko desadostasunaren erantzule egiten den modua. Erabakia txikia da, baina hartzeko erabilitako frogak zehatzak izan behar dira.
Eremuak ziurtagiri bat izendatzen du: tokiko identitatea
Apple-ren Network Extension API-ak bezeroaren kredentzialarentzako ziurtagiri-mota bat eskaintzen du, besteak beste NEVPNIKEv2CertificateType.ECDSA256, ECDSA p-256 ziurtagiri-mota gisa dokumentatua. Propietatea identityReference edo identityData bidez emandako ziurtagiriari aplikatzen zaio.
Horrek esan nahi du erabakia Mac-ak aurkezten duen ziurtagiriari buruzkoa dela, harekin doan gako pribatuarekin batera. Aukeratu hosto-ziurtagiri horren gako publikoarekin bat datorren mota eta eman identitatea onartutako mekanismoaren bidez. Mac-ak identitaterako gako pribatu erabilgarririk ez badu, mota-hautaketak ezin du konexioa salbatu.
Kudeatutako profilek erabaki bera hartzen dute IKEv2 karga-eremuaren CertificateType bidez, PayloadCertificateUUID bezalako ziurtagiri-erreferentzia batekin batera. Eremu horiek aurretiazko baldintzak eta eskema dituzte helburuko sistema eragilearen bertsiorako; profilean kopiatutako mota-balio hutsa ez da instalagarria, eta ezarpen-leiho batek agian ez du API aukera guztiak erakutsiko. Egiaztatu kargaren aurretiazko baldintzak bertsio horretarako ezarri aurretik.
Erabaki rolen arabera, ez ziurtagiriaren etiketaren arabera
Irakurri aldatzeko zuzen duzun eremua eta galdetu zein ziurtagiriri seinalatzen dion. Ziurtagiri-ikuskatzaile bateko etiketek subjektua, emailea eta sinadura-algoritmoa nahasten dituzte, eta horietako bakarra dagokio bezeroaren identitatearen hautaketari.
| What you inspected | What it controls | Does it choose the Mac certificate type? |
|---|---|---|
| Client leaf public key | The identity the Mac presents | Yes, this is the field's subject |
| Issuer signature algorithm | How the client certificate was signed | No |
| Gateway certificate | What the Mac validates as the peer | No, check it separately |
| IKE and ESP proposals | Algorithms for the tunnel | No, separate proposal settings |
Ziurtagiri-ikuskatzaileak CA-ren ECDSA sinadura erakusten badu, horrek emailearen sinadura-gakoa deskribatzen du. Bezeroaren beraren gakoa RSA izan daiteke oraindik, eta mota-eremuak bezeroaren gakoari jarraitu behar dio, ez sinadura-lerroari. Nahaste bakar honek azaltzen ditu "ECDSA konfiguratuta dago baina konexioak huts egiten du" motako txosten asko. Konparatu hostoko gako-mota profilean hautatutako motarekin, ezer aldatu aurretik.
Erabakia sinpleagoa da hostoa identifikatu ondoren: ECDSA256 p-256 bezero-gako baterako, beste mota onartu bat gako desberdin baterako. Bezero-ziurtagiria eta haren gakoa bat ez badatoz, konpondu bikote hori VPN profila aldatu aurretik.
Atebidearen ziurtagiria erabaki bereizia da
Atebideak bere ziurtagiria aurkezten du eta Mac-ak konfiantza-ankaren eta espero den izenaren aurka baliozkotzen du. Ziurtagiri horrek ECDSA, RSA edo beste gako-mota bat erabiltzen duen zerbitzariaren ezaugarria da, ez bezeroaren identitate-ezarpenarena.
ECDSA bezero-ziurtagiri baterako tokiko onarpenak ez du frogatzen atebide-ziurtagiri, kurba edo zerbitzari-autentikazio konfigurazio guztiek elkarrekiko eragiketa izango dutenik. Egiaztatu zerbitzariaren identitatea, haren katea eta IKE autentikazio-metodoa sarrera bereizi gisa, eta probatu benetan ezarriko den profilekin.
Atebidearen ziurtagiria bada arazoa, sintoma normalean parearen baliozkotzean agertzen da, ez identitate-hautaketan. Irakurri hutsegite-fasea bezeroaren mota aldatu aurretik, konfiantza-hutsegiteak eta bezero-gakoaren desadostasunak ez baitute konponbide bera partekatzen.
Emailearen sinadura eta gako-adostasun taldea ez dira bezeroaren mota
X.509-ek subjektuaren gako publikoa eta emailearen sinadura eremu desberdinetan gordetzen ditu. Subjektuaren gako publikoaren informazioak ziurtagiriko gakoa deskribatzen du; sinadura-algoritmoak CA-ren gakoa eta sinadura-eragiketa deskribatzen ditu. Lehenak bakarrik bat egiten du ziurtagiri-mota ezarpenarekin.
IKE eta Child SA proposamenak beste ardatz bat dira. ECDSA ziurtagiri-mota ez da ESP zifratze-hautaketa, eta gako-adostasun taldea aldatzeak ez du ziurtagiri-mota aukeratzen. Profil batek proposamen baliozkoak eta identitate-mota okerra izan ditzake, edo identitate-mota zuzena eta pareak baztertzen duen proposamena.
Eduki itzazu hiru lerroak bereizita aldaketa-erregistroan: identitate-ziurtagiria eta gakoa, atebidearen konfiantza-sarrerak eta proposamen-algoritmoak. Hauek "kripto ezarpenak" ohar bakarrean batzeak hurrengo hutsegitea egoztea ezinezkoa egiten du.
Egiaztatu erabakia konfiguratu dituzun eremuekin
Egiaztatu profilak benetan erreferentziatzen duen identitatea, eta gero baieztatu erreferentzia horretako ziurtagiriak espero den gako publikoa eta gako pribatu erabilgarria dituela. Interfazean erakutsitako motak, erreferentziatutako ziurtagiriak eta gailuko gakoak bat etorri behar dute.
Ondoren baieztatu atebidearen sarrerak: espero den zerbitzari-izena, konfiantza-ankara eta IKE autentikazio-metodoa. Azkenik, konektatu eta irakurri non gelditzen den esku-ematea. Identitate-trukearen aurreko hutsegiteak ezarpen honetatik urruntzen du; parearen baliozkotzean huts egiteak atebidearen aldera seinalatzen du.
Idatzi hautatutako mota, identitate-erreferentzia eta atebide-ziurtagiriaren subjektua ezarpen-oharretan. Hurrengo profil-eguneratzeak horietako edozein alda dezake, eta izendatutako hiru balio azkarrago konparatzen dira ezarpen-panel baten pantaila-argazkia baino.