Mac IKEv2 ECDSA: cén cineál teastais a bhaineann leis an gcliant?
Ar Mac, cuireann ECDSA256 sna socruithe IKEv2 síos ar an teastas féiniúlachta áitiúil, ní ar an ngeata ná ar shíniú an eisitheora. Léigh gach ról sula roghnaíonn tú.
Ar macOS, freagraíonn rogha ECDSA i socrú cliaint IKEv2 do cheist chúng: cén teastas a chruthaíonn féiniúlacht an Mhic. Ní chuireann sé síos ar theastas an gheata, ar an síniú a d'eisigh teastas an chliaint, ná ar an togra criptithe don tollán. Is é an chaoi a gcuirtear na ceithre ról sin mar aon cheist chomhoiriúnachta ná go gcuirtear an milleán ar shocrú áitiúil ceart as easaontú ar thaobh an fhreastalaí. Tá an cinneadh beag, ach caithfidh an fhianaise a úsáidtear chun é a dhéanamh a bheith beacht.
Ainmníonn an réimse teastas amháin: an fhéiniúlacht áitiúil
Nochtann Network Extension API de chuid Apple cineál teastais don chreidiúint chliaint, lena n-áirítear NEVPNIKEv2CertificateType.ECDSA256, atá doiciméadaithe mar an cineál teastais ECDSA p-256. Baineann an t-airí leis an teastas a sholáthraítear trí identityReference nó identityData.
Ciallaíonn sé sin go mbaineann an cinneadh leis an teastas a chuireann an Mac i láthair, mar aon leis an eochair phríobháideach a ghabhann leis. Roghnaigh an cineál a mheaitseálann eochair phoiblí an duille-theastais sin agus soláthair an fhéiniúlacht tríd an meicníocht atá tacaíocht. Mura bhfuil eochair phríobháideach inúsáidte ag an Mac don fhéiniúlacht, ní féidir le rogha an chineáil an nasc a shábháil.
Déanann próifílí bainistithe an cinneadh céanna trí CertificateType an ualaigh IKEv2, in éineacht le tagairt teastais ar nós PayloadCertificateUUID. Tá réamhchoinníollacha agus scéim ag na réimsí sin don eisiúint OS sprice; ní féidir luach cineáil lom a chóipeáiltear isteach i bpróifíl a shuiteáil, agus b'fhéidir nach nochtann fuinneog socruithe gach rogha API. Seiceáil réamhchoinníollacha an ualaigh don eisiúint sin roimh an imscaradh.
Cinntigh de réir róil, ní de réir lipéad an teastais
Léigh an réimse atá ar tí athrú agat agus fiafraigh cén teastas a dtugann sé le fios. Measann lipéid i bhféachadóir teastas an t-ábhar, an t-eisitheoir agus an t-algartam sínithe le chéile, agus ní bhaineann ach ceann amháin díobh le rogha fhéiniúlacht an chliaint.
| What you inspected | What it controls | Does it choose the Mac certificate type? |
|---|---|---|
| Client leaf public key | The identity the Mac presents | Yes, this is the field's subject |
| Issuer signature algorithm | How the client certificate was signed | No |
| Gateway certificate | What the Mac validates as the peer | No, check it separately |
| IKE and ESP proposals | Algorithms for the tunnel | No, separate proposal settings |
Má thaispeánann an féachadóir teastas síniú ECDSA ón CA, cuireann sé sin síos ar eochair sínithe an eisitheora. Is féidir le heochair an chliaint féin a bheith ina RSA fós, agus ba cheart don réimse cineáil leanúint eochair an chliaint seachas an líne sínithe. Míníonn an mhearbhall amháin seo a lán tuarascálacha "tá ECDSA cumraithe ach teipeann an nasc". Déan comparáid idir cineál na heochrach sa duille agus an cineál a roghnaíodh sa phróifíl sula n-athraíonn tú aon rud.
Éiríonn an cinneadh níos simplí nuair a aithnítear an duille: ECDSA256 d'eochair chliaint p-256, cineál tacaíochta eile d'eochair dhifriúil. Mura n-oireann teastas an chliaint agus a eochair dá chéile, deisigh an péire sin sula n-athraíonn tú an phróifíl VPN.
Is cinneadh ar leith é teastas an gheata
Cuireann an geata a theastas féin i láthair agus déanann an Mac é a bhailíochtú i gcoinne ancaire iontaoibhe agus ainm a bhfuiltear ag súil leis. Is airí de chuid an fhreastalaí é cibé an n-úsáideann an teastas sin ECDSA, RSA nó cineál eochrach eile, ní de chuid shocrú féiniúlachta an chliaint.
Ní chruthaíonn tacaíocht áitiúil do theastas cliaint ECDSA go n-oibreoidh gach teastas geata, cuar nó cumraíocht fíordheimhnithe freastalaí le chéile. Seiceáil féiniúlacht an fhreastalaí, a shlabhra agus a mhodh fíordheimhnithe IKE mar ionchuir ar leith, agus tástáil leis an bpróifíl a imscarfar i ndáiríre.
Más é teastas an gheata an fhadhb, is gnách go dtagann an tsiomptóm chun solais le linn bhailíochtú an phiara seachas ag roghnú féiniúlachta. Léigh céim na teipe sula n-athraíonn tú cineál an chliaint, mar ní bhíonn an leigheas céanna ag teip iontaoibhe agus ag easaontú eochrach cliaint.
Ní hé síniú an eisitheora ná an ghrúpa comhaontaithe eochrach cineál an chliaint
Coinníonn X.509 eochair phoiblí an ábhair agus síniú an eisitheora i réimsí éagsúla. Cuireann faisnéis eochrach poiblí an ábhair síos ar an eochair sa teastas; cuireann an t-algartam sínithe síos ar eochair an CA agus ar an oibríocht sínithe. Ní mheaitseálann ach an chéad cheann le socrú chineál an teastais.
Is ais eile iad tograí IKE agus Child SA. Ní rogha criptithe ESP é cineál teastais ECDSA, agus ní roghnaíonn athrú an ghrúpa comhaontaithe eochrach cineál teastais. Is féidir le próifíl tograí bailí agus an cineál féiniúlachta mícheart a bheith aici, nó an cineál féiniúlachta ceart agus togra a dhiúltaíonn an piara.
Coinnigh na trí líne ar leith sa chlár athruithe: teastas agus eochair féiniúlachta, ionchuir iontaoibhe an gheata, agus algartaim na dtograí. Má chomhcheanglaítear iad in aon nóta amháin "socruithe cripto", bíonn an chéad teip eile doshannta.
Fíoraigh an cinneadh leis na réimsí a chumraigh tú
Seiceáil an fhéiniúlacht a dtagraíonn an phróifíl di i ndáiríre, ansin deimhnigh go bhfuil an eochair phoiblí a bhfuiltear ag súil léi agus eochair phríobháideach inúsáidte ag an teastas ag an tagairt sin. Caithfidh an cineál a thaispeántar sa chomhéadan, an teastas a ndéantar tagairt dó agus an eochair ar an ngléas teacht le chéile.
Ansin deimhnigh ionchuir an gheata: an t-ainm freastalaí a bhfuiltear ag súil leis, an t-ancaire iontaoibhe agus modh fíordheimhnithe IKE. Ar deireadh, ceangail agus léigh cá stopann an chroitheadh láimhe. Treoraíonn teip roimh mhalartú féiniúlachta ón socrú seo; treoraíonn teip ag bailíochtú an phiara i dtreo thaobh an gheata.
Taifead an cineál a roghnaíodh, an tagairt fhéiniúlachta agus ábhar theastas an gheata sna nótaí imscartha. Is féidir leis an gcéad nuashonrú próifíle aon cheann díobh a athrú, agus is tapúla trí luach ainmnithe a chur i gcomparáid ná gabháil scáileáin de phainéal socruithe.