Macin VPN-varmente: miksi identiteetin valitsin pysyy tyhjänä
Asiakas tarvitsee varmenteen ja sen yksityisen avaimen, sellaisesta säilöstä jota se lukee. Tarkista ensin identiteetti ja sitten, hyväksyykö yhdyskäytävä sen.
Asensit varmenteen, se näkyy Avainnipussa kuvaavalla nimellä ja VPN-asiakkaan identiteetin valitsin on yhä tyhjä. Asiakas ei etsi varmennetta. Se etsii identiteettiä: varmennetta, joka on paritettu yksityisen avaimen kanssa ja voi todistaa hallussapidon, tallennettuna sinne, missä asiakas saa lukea sen.
Se, mitä asiakas pyytää, on identiteetti
Applen tietoturvakehys kohtelee varmennetta ja identiteettiä eri objekteina. Varmenne on julkista dataa. Identiteetti on tuo varmenne ja sen yksityinen avain, ja vain identiteetti voi suorittaa haasteen loppuun. Luotettu CA-varmenne puolestaan antaa asiakkaan arvioida myöntäjää; se ei tee koneesta myönnetyn asiakastunnisteen haltijaa.
| Item | What it can do | What it cannot do |
|---|---|---|
| CA or server certificate | Validate the gateway's chain | Authenticate this client |
| Client certificate without key | Nothing for authentication | Prove possession of anything |
| Identity (cert plus key) | Answer the authentication challenge | Guarantee the gateway accepts it |
Siksi tiedoston .cer tuominen ei koskaan tuota käyttökelpoista asiakasidentiteettiä. Tiedosto sisältää vain julkista materiaalia, eikä sen uudelleennimeäminen tai luottaminen tee siitä avainparia.
Kolme syytä, miksi valitsin pysyy tyhjänä
Ensimmäinen on puuttuva yksityinen avain, mikä tarkoittaa, että rekisteröinti- tai tuontiprosessi ei toimittanut sellaista. Toinen on säilö, jota asiakas ei tarkista: käyttäjätason profiili katsoo käyttäjän avainnippua, ja järjestelmäsäilöön sijoitettu kohde voi olla sille näkymätön. Kolmas on käyttötarkoituksen tai käytännön epäsuhta, jossa varmenne on olemassa mutta ei kelpaa asiakastodennukseen käyttöönoton sääntöjen mukaan.
security find-identity -v -p ssl-clientTämä luettelee identiteetit, joita järjestelmä pitää asiakastodennukseen kelpaavina. Jos määrä on nolla, ongelma on VPN-asiakkaan yläpuolella eikä mikään profiilin muokkaus korjaa sitä. Jos identiteetti näkyy täällä mutta ei asiakkaassa, ero on asiakkaan säilössä tai laajuudessa.
Missä yksityinen avain sijaitsee ja kuka saa käyttää sitä
Kun tuot identiteetin Avainnipun kautta, tuontivalintaikkuna tarjoaa kohdeavainnipun. Mikä kohde on oikea, riippuu asiakkaasta ja siitä, onko profiili käyttäjä- vai laitetasolla. Vanha vastaus, joka suosittaa järjestelmän avainnippua, ei ole yleispätevä sääntö, eikä kohteiden kopioiminen säilöjen välillä ole korjaus.
System Roots on luottamuskokoelma. Varmenteen laittaminen sinne muuttaa sitä, mihin myöntäjiin järjestelmä luottaa; se ei luo yksityistä avainta eikä ole identiteettisäilö. Asiankuulumattomien varmenteiden siirtely valitsimen täyttämiseksi on sellainen korjaus, joka jättää koneelle pysyvästi laajennetun luottamusjoukon.
Pääsy yksityiseen avaimeen on erillinen hallinta. Kaikille sovelluksille luvan antaminen käyttää avainta ratkaisee yhden asiakkaan valintaongelman ja antaa saman kyvyn kaikelle muulle koneella. Anna se asiakkaalle, joka sitä tarvitsee, ja tarkista, onko avain laitteistopohjainen tai merkitty ei-vietäväksi; jos on, on käytettävä tuettua tarjoajaa eikä vietyä kopiota.
Miten profiili osoittaa tunnistetietoon
Hallitussa natiivissa IKEv2-määrityksessä profiili viittaa tunnistetietokuormaansa PayloadCertificateUUID kautta. Merkitsevää on viitattu identiteetti ja se, miten se hankittiin; näyttönimen muokkaaminen profiilissa ei korjaa viittausta, joka osoittaa väärään kuormaan tai sellaiseen, joka ei koskaan toimittanut avainta.
Kolmannen osapuolen tarjoaja voi käyttää täysin erilaista valintamekanismia, kuten omaa säilöään tai järjestelmäkehotteita. Lue kyseisen tarjoajan dokumentaatio sen sijaan, että siirtäisit natiiviprofiilin oletuksia, ja varmista viittaus profiilista, joka on todella asennettu, ei hallintakonsolin luonnoksesta.
Valinta ja hyväksyntä ovat erillisiä virstanpylväitä
Täytetty valitsin tarkoittaa, että asiakas löytää ja käyttää identiteettiä. Se ei kerro mitään siitä, hyväksyykö yhdyskäytävä sen. Palvelin tarkistaa edelleen myöntäjän, voimassaoloajan, mitätöintitilan ja kyseisen tunnistetiedon kuvauksen tilille.
Testaa molemmat vaiheet nimenomaisesti tässä järjestyksessä. Varmista, että identiteettiä tarjotaan, yhdistä ja pyydä sitten yhdyskäytävän omistajaa vahvistamaan, mikä tunnistetieto esitettiin ja mikä kuvaussääntö sen kulutti. Jos asiakas tarjoaa identiteettiä ja palvelin hylkää sen, jäljellä oleva työ on palvelimen puolella. Varmenteen asentaminen uudelleen Maciin ei muuta tuota tulosta, kuinka monta kertaa se toistetaan.