Mac VPN-sertifikaat: wêrom't de identiteitskiezer leech bliuwt
De klant hat in sertifikaat mei syn privekaai nedich, yn in opslach dy't er lêst. Kontrolearje earst de identiteit en dan oft de gateway dy akseptearret.
Do hast it sertifikaat ynstallearre, it ferskynt yn Keychain Access mei in freonlike namme, en de identiteitskiezer fan de VPN-klant is noch altyd leech. De klant siket gjin sertifikaat. Hy siket in identiteit: in sertifikaat keppele oan it privekaai dat besit bewize kin, bewarre dêr't de klant it lêze mei.
Wat de klant freget is in identiteit
It feiligensramt fan Apple behannelet in sertifikaat en in identiteit as ferskillende objekten. In sertifikaat is publike data. In identiteit is dat sertifikaat plus syn privekaai, en allinnich de identiteit kin in útdaging foltôgje. In fertroud CA-sertifikaat lit in klant wol in útjouwer beoardielje; it makket de masine gjin eigener fan in útjûn klantbewiis.
| Item | What it can do | What it cannot do |
|---|---|---|
| CA or server certificate | Validate the gateway's chain | Authenticate this client |
| Client certificate without key | Nothing for authentication | Prove possession of anything |
| Identity (cert plus key) | Answer the authentication challenge | Guarantee the gateway accepts it |
Dêrom leveret it ymportearjen fan in bestân .cer nea in brûkber klantidentiteit op. It bestân befettet allinnich publike materiaal, en gjin oare namme of fertrouwen makket der in kaaipear fan.
Trije redenen wêrom't de kiezer leech bliuwt
De earste is in ûntbrekkend privekaai, wat betsjut dat it registraasje- of ymportproses der gjin ien levere hat. De twadde is in opslach dy't de klant net rieplachtet: in profyl op brûkersnivo sjocht yn 'e kaaihanger fan de brûker, en in item yn in systeemopslach kin foar him ûnsichtber wêze. De tredde is in misferhâlding fan doel of belied, wêrby't it sertifikaat bestiet mar net jildich is foar klantautentikaasje neffens de regels fan 'e útrulling.
security find-identity -v -p ssl-clientDit listet de identiteiten op dy't it systeem jildich achtet foar klantautentikaasje. As it oantal nul is, leit it probleem earder as de VPN-klant en gjin profylbewurking sil it oplosse. As de identiteit hjir ferskynt mar net yn 'e klant, is it ferskil de opslach of it berik fan 'e klant.
Wêr't it privekaai wennet, en wa't it brûke mei
As do in identiteit ymportearrest fia Keychain Access, biedt de ymportdialooch in bestimmingskaaihanger oan. Hokker bestimming krekt is ôfhinklik fan 'e klant en fan oft it profyl op brûkers- of apparaatnivo is. In âld antwurd dat de systeemkaaihanger oanriedt is gjin universele regel, en it kopiearjen fan items tusken opslaggen is gjin reparaasje.
System Roots is in fertrouwenssamling. In sertifikaat dêr pleatse feroaret hokker útjouwers it systeem fertrout; it makket gjin privekaai en it is gjin identiteitsopslach. It ferpleatsen fan net-relatearre sertifikaten om in kiezer te foljen is it soart reparaasje dat in masine efterlit mei in permanint ferbrede fertrouwensset.
Tagong ta it privekaai is in aparte kontrôle. Elke applikaasje tastimming jaan om it kaai te brûken lost it seleksjeprobleem fan ien klant op en jout deselde mooglikheid oan al it oare op 'e masine. Jaan it oan 'e klant dy't it nedich hat, en kontrolearje oft it kaai hardware-basearre is of as net-eksportearber markearre; as dat sa is, moat de stipe provider brûkt wurde ynstee fan in eksportearre kopy.
Hoe't it profyl nei it bewiis wiist
Yn in beheard native IKEv2-konfiguraasje ferwiist it profyl nei syn bewiislading fia PayloadCertificateUUID. De ferwiisde identiteit en de manier wêrop dy levere is, binne wat telt; it bewurkjen fan in werjefte namme yn it profyl reparearret gjin ferwizing nei de ferkearde lading of nei ien dy't nea in kaai levere hat.
In tredde partij provider kin in folslein oare seleksjemeganisme brûke, lykas syn eigen opslach of in systeemfoarsjen. Lês de dokumintaasje fan dy provider ynstee fan native-profyloanames oer te dragen, en ferifiearje de ferwizing yn it profyl dat eins ynstallearre is, net yn 'e konseptferzje fan 'e behearconsole.
Seleksje en akseptaasje binne aparte milpealen
In folle kiezer betsjut dat de klant in identiteit fine en brûke kin. It seit neat oer oft de gateway dy akseptearret. De server kontrolearret noch de útjouwer, it jildichheidsfinster, de status fan yntrekking en de mapping fan dat bewiis nei in akkount.
Test beide stadia eksplisyt, yn dy folchoarder. Befestigje dat de identiteit oanbean wurdt, meitsje ferbining, en freegje dan de eigner fan 'e gateway om te befestigjen hokker bewiis presintearre waard en hokker mappingregel it konsumearre hat. As de klant in identiteit oanbiedt en de server dy wegere, leit it oerbleaune wurk oan 'e serverkant. It opnij ynstallearjen fan it sertifikaat op 'e Mac sil dat resultaat net feroarje, hoe faak it ek werhelle wurdt.