Macin VPN-varmente: minkä tilin yhdyskäytävä näkee?
Profiilin tunniste, kirjautumistiedot ja tili-kenttä vastaavat eri kysymyksiin. Seuraa pääidentiteettiä yhdyskäytävän mappaukseen ennen kuin nimeät mitään uudelleen.
Profiili näyttää nimesi, varmenteen näkyvä tunniste kertoo jotain muuta ja yhdyskäytävän loki kirjaa kolmannen tunnisteen. Mikään niistä ei valehtele, ja juuri se on ongelma: kolmea eri kenttää luetaan ikään kuin ne vastaisivat yhteen kysymykseen. Yhteys esittää kirjautumistiedot, IKEv2-tunnisteen ja tilin, ja yhdyskäytävä päättää, mikä niistä valtuuttaa mitäkin.
Kolme identiteettiä yhdessä yhteydessä
Näkyvä profiilinimi on ihmisille tarkoitettu tunniste. Se valitsee yhteyden eikä mitään muuta. Varmenne on kirjautumistieto, ja se, voiko se todistaa jotain, riippuu siitä, onko asiakkaalla vastaava yksityinen avain. Tili-kenttä on väite pääidentiteetistä, ja palvelin saa vapaasti mappaa sen toiseen paikalliseen identiteettiin.
Kun todennus epäonnistuu, kysy mihin kolmesta virhe viittaa. Hylätty kirjautumistieto, tuntematon tunniste ja poistettu tili tuottavat erilaisia viestejä, ja niiden käsitteleminen yhtenä «varmenneongelmana» lähettää sinut väärään konsoliin.
Lue natiivit kentät niiden tehtävän mukaan
Hallitussa natiivissa IKEv2-määrityksessä Applen hyötykuorman viite erottaa arvot, ja todennusmenetelmä päättää, mikä yhdistelmä tarvitaan:
| Field | Identifies | Common misreading |
|---|---|---|
| AuthName | Username for the configured arrangement | Assuming it is the certificate subject |
| LocalIdentifier | IKEv2 client identifier | Assuming it must equal the username |
| PayloadCertificateUUID | Referenced credential payload | Assuming any installed certificate will do |
Varmenteella ja EAP-kirjautumisella voi olla eri roolit samassa yhteydessä. Älä pakota jokaista kenttää pitämään samaa tekstiä vain siksi, että yksi niistä tekee niin, äläkä oleta, että yhden muuttaminen kumoaa muut. Kolmannen osapuolen VPN-sovellus voi tarjota täysin erilaisen mallin; käytä sen dokumentoitua identiteetin valintaa sen sijaan, että siirtäisit natiiveja kenttänimiä sinne.
Palvelinvarmente ei ole asiakkaan identiteetti
Yhdyskäytävän validoiva varmenne on luottamuksen ankkuri. Se todistaa, että saavuit odottamaasi palvelimeen. Asiakkaan identiteetti on eri objekti: se sisältää pääsyn yksityiseen avaimeen, joka todistaa, että yhdistyvä osapuoli on se, joksi se väittää itseään. Näkyvän tilin uudelleennimeäminen ei voi muuttaa toista toiseksi.
Tässä hyväntahtoinen korjaus menee pieleen. Yhdyskäytävän CA-varmenteen tuominen asiakkaan säilöön ei tee asiakkaan todennuksen eteen mitään, eikä kyseisen merkinnän nimeäminen käyttäjän nimellä tee siitä käyttäjäidentiteettiä. Kaksi objektia elävät profiilin eri osissa ja vastaavat eri kysymyksiin.
Seuraa pääidentiteettiä yhdyskäytävän mappaukseen
Varmista, mitä varten kirjautumistieto myönnettiin: tälle käyttäjälle, tälle laitteelle vai jaetulle roolille. Macin kirjautumistili ei ole automaattisesti tuo pääidentiteetti, ja toisesta koneesta kopioitu varmenne säilyttää sen koneen identiteetin, jolle se myönnettiin.
Vertaa sitten varsinaista kirjautumistietoa, älä tunnistetta. Myöntäjä, sarjanumero ja sormenjälki antavat sinun ja ylläpitäjän vahvistaa, että puhutte samasta objektista. Näytettävät nimet ovat muokattavia ja usein monistettuja, mikä tekee niistä huonoimman mahdollisen tunnisteen tapahtuman aikana.
Viimeinen vaihe on yhdyskäytävässä. Pyydä sen omistajaa korreloimaan yksi yhteys esitettyihin tunnisteisiin ja tili-mappaussääntöön, joka ne kulutti. Asiakaspuolen tunniste ei voi todeta, mitä palvelin päätti, ja sääntö, joka mappaa varmenteen poistettuun tiliin, epäonnistuu, vaikka kaikki asiakaspuolen kentät näyttävät oikeilta.
Korjaa kerros, joka omistaa ristiriidan
Jos profiili osoittaa väärään kirjautumistietoon, korjaa sen viite tai valinta. Jos kirjautumistieto kuuluu toiselle pääidentiteetille, käy myöntäjän uudelleenrekisteröinti läpi sen sijaan, että muokkaisit tunnisteita. Jos yhdyskäytävä sitoo kelvollisen kirjautumistiedon väärään tiliin, sen käytäntöomistajan on korjattava mappaus. Ne ovat kolme eri muutosta, joilla on kolme eri hyväksyjää.
Uusiminen ansaitsee saman huolen. Varmenteen vaihtaminen, sen näkyvän tunnisteen uudelleennimeäminen ja henkilön siirtäminen tilijärjestelmien välillä eivät välttämättä vaikuta mappaukseen samalla tavalla. Kirjaa, minkä kolmesta muutit, sillä seuraava vika näyttää asiakkaan puolelta samalta ja yhdyskäytävän lokissa erilaiselta.
Jaa vain ne vähimmäismääräiset julkiset tunnisteet, joita tuki tarvitsee. Yksityinen avain tai täydellinen identiteettipaketti ei ole koskaan osa tuota vaihtoa, riippumatta siitä, miten kätevää diagnoosin teosta tulisi.