Mac IKEv2 ECDSA: mikä varmenteen tyyppi kuuluu asiakkaalle?
Macissa ECDSA256 IKEv2-asetuksissa kuvaa paikallista identiteettivarmennetta, ei yhdyskäytävää tai myöntäjän allekirjoitusta. Lue jokainen rooli ennen valintaa.
macOS:ssa IKEv2-asiakasasetuksen ECDSA-valinta vastaa kapeaan kysymykseen: mikä varmenne todistaa Macin identiteetin. Se ei kuvaa yhdyskäytävän varmennetta, asiakasvarmenteen myöntänyttä allekirjoitusta eikä tunnelin salausesitystä. Näiden neljän roolin käsitteleminen yhtenä yhteensopivuuskysymyksenä on syy siihen, miksi oikea paikallinen asetus joutuu syytetyksi palvelinpuolen epäsovusta. Päätös on pieni, mutta sen tekemiseen käytettävien todisteiden on oltava tarkkoja.
Kenttä nimeää yhden varmenteen: paikallisen identiteetin
Applen Network Extension API tarjoaa varmenteen tyypin asiakkaan tunnistetiedoille, mukaan lukien NEVPNIKEv2CertificateType.ECDSA256, joka on dokumentoitu ECDSA p-256 -varmenteeksi. Ominaisuus koskee varmennetta, joka toimitetaan identityReference tai identityData kautta.
Se tarkoittaa, että päätös koskee varmennetta, jonka Mac esittää, sekä siihen kuuluvaa yksityistä avainta. Valitse tyyppi, joka vastaa tämän lehtivarmenteen julkista avainta, ja toimita identiteetti tuetulla mekanismilla. Jos Macilla ei ole käyttökelpoista yksityistä avainta identiteetille, tyyppivalinta ei voi pelastaa yhteyttä.
Hallitut profiilit tekevät saman päätöksen IKEv2-hyötykuorman CertificateType-kentän kautta yhdessä varmenneviittauksen, kuten PayloadCertificateUUID, kanssa. Näillä kentillä on edellytykset ja skeema kohdekäyttöjärjestelmän versiolle; profiiliin kopioitu paljas tyyppiarvo ei ole asennettavissa, eikä asetusikkuna välttämättä näytä jokaista API-vaihtoehtoa. Tarkista hyötykuorman edellytykset kyseiselle versiolle ennen käyttöönottoa.
Päätä roolin, älä varmenteen tunnisteen perusteella
Lue kenttä, jota aiot muuttaa, ja kysy, mihin varmenteeseen se osoittaa. Varmenteiden katseluohjelman tunnisteet sekoittavat kohteen, myöntäjän ja allekirjoitusalgoritmin, ja vain yksi niistä kuuluu asiakkaan identiteetin valintaan.
| What you inspected | What it controls | Does it choose the Mac certificate type? |
|---|---|---|
| Client leaf public key | The identity the Mac presents | Yes, this is the field's subject |
| Issuer signature algorithm | How the client certificate was signed | No |
| Gateway certificate | What the Mac validates as the peer | No, check it separately |
| IKE and ESP proposals | Algorithms for the tunnel | No, separate proposal settings |
Jos varmenteiden katseluohjelma näyttää CA:n ECDSA-allekirjoituksen, se kuvaa myöntäjän allekirjoitusavainta. Asiakkaan oma avain voi yhä olla RSA, ja tyyppikentän tulisi seurata asiakkaan avainta eikä allekirjoitusriviä. Tämä yksi sekaannus selittää monet raportit "ECDSA on määritetty, mutta yhteys epäonnistuu". Vertaa lehden avaintyyppiä profiilissa valittuun tyyppiin ennen kuin muutat mitään.
Päätöksestä tulee yksinkertaisempi, kun lehti on tunnistettu: ECDSA256 p-256-asiakasavaimelle, toinen tuettu tyyppi eri avaimelle. Jos asiakasvarmenne ja sen avain eivät vastaa toisiaan, korjaa se pari ennen VPN-profiilin muuttamista.
Yhdyskäytävän varmenne on erillinen päätös
Yhdyskäytävä esittää oman varmenteensa ja Mac validoi sen luottamusankkuria ja odotettua nimeä vasten. Käyttääkö tämä varmenne ECDSA:ta, RSA:ta vai muuta avaintyyppiä, on palvelimen ominaisuus, ei asiakkaan identiteettiasetuksen.
Paikallinen tuki ECDSA-asiakasvarmenteelle ei todista, että jokainen yhdyskäytävän varmenne, käyrä tai palvelimen todennuskonfiguraatio toimisi yhdessä. Tarkista palvelimen identiteetti, sen ketju ja IKE-todennusmenetelmä erillisinä syötteinä ja testaa profiililla, joka todella otetaan käyttöön.
Jos yhdyskäytävän varmenne on ongelma, oire ilmaantuu yleensä vertaisosapuolen validoinnissa eikä identiteetin valinnassa. Lue epäonnistumisvaihe ennen asiakkaan tyypin muuttamista, koska luottamusvirhe ja asiakasavaimen epäsopu eivät jaa samaa korjausta.
Myöntäjän allekirjoitus ja avainsopimusryhmä eivät ole asiakkaan tyyppi
X.509 pitää kohteen julkisen avaimen ja myöntäjän allekirjoituksen eri kentissä. Kohteen julkisen avaimen tiedot kuvaavat varmenteen avainta; allekirjoitusalgoritmi kuvaa CA:n avainta ja allekirjoitustoimea. Vain ensimmäinen vastaa varmennetyypin asetusta.
IKE- ja Child SA -ehdotukset ovat toinen akseli. ECDSA-varmenteen tyyppi ei ole ESP-salausvalinta, eikä avainsopimusryhmän muuttaminen valitse varmennetyyppiä. Profiilissa voi olla kelvolliset ehdotukset ja väärä identiteettityyppi tai oikea identiteettityyppi ja ehdotus, jonka vertaisosapuoli hylkää.
Pidä kolme riviä erillään muutoskirjauksessa: identiteettivarmenne ja avain, yhdyskäytävän luottamussyötteet ja ehdotusten algoritmit. Niiden yhdistäminen yhdeksi "salausasetukset"-merkinnäksi tekee seuraavan epäonnistumisen kohdistamisen mahdottomaksi.
Varmista päätös niillä kentillä, jotka määritit
Tarkista identiteetti, johon profiili todella viittaa, ja vahvista sitten, että kyseisen viitteen varmenteella on odotettu julkinen avain ja käyttökelpoinen yksityinen avain. Käyttöliittymässä näytetyn tyypin, viitatun varmenteen ja laitteen avaimen on vastattava toisiaan.
Vahvista seuraavaksi yhdyskäytävän syötteet: odotettu palvelinnimi, luottamusankkuri ja IKE-todennusmenetelmä. Yhdistä lopuksi ja lue, mihin kättely pysähtyy. Ennen identiteetin vaihtoa tapahtuva virhe osoittaa pois tästä asetuksesta; vertaisosapuolen validoinnin virhe osoittaa yhdyskäytävän suuntaan.
Kirjaa valittu tyyppi, identiteettiviite ja yhdyskäytävän varmenteen kohde käyttöönoton muistiinpanoihin. Seuraava profiilipäivitys voi muuttaa mitä tahansa niistä, ja kolmea nimettyä arvoa on nopeampi verrata kuin asetuspaneelin kuvakaappausta.