Certificado VPN de Mac: por que o selector de identidade segue baleiro
O cliente necesita un certificado coa súa clave privada, nun almacén que lea. Comproba primeiro a identidade e despois se a pasarela a acepta.
Instalaches o certificado, aparece en Acceso ao Llavero cun nome descritivo e o selector de identidade do cliente VPN segue baleiro. O cliente non busca un certificado. Busca unha identidade: un certificado emparellado coa clave privada capaz de demostrar a súa posesión, gardado onde o cliente ten permiso para lelo.
O que pide o cliente é unha identidade
O marco de seguridade de Apple trata un certificado e unha identidade como obxectos distintos. Un certificado son datos públicos. Unha identidade é ese certificado máis a súa clave privada, e só a identidade pode completar un desafío. Un certificado de CA de confianza, pola contra, permite a un cliente avaliar un emisor; non converte a máquina en titular dunha credencial de cliente emitida.
| Item | What it can do | What it cannot do |
|---|---|---|
| CA or server certificate | Validate the gateway's chain | Authenticate this client |
| Client certificate without key | Nothing for authentication | Prove possession of anything |
| Identity (cert plus key) | Answer the authentication challenge | Guarantee the gateway accepts it |
Por iso, importar un ficheiro .cer nunca produce unha identidade de cliente utilizábel. O ficheiro só contén material público, e por moito que o renombres ou o marques como de confianza, non se converte nun par de chaves.
Tres razóns polas que o selector segue baleiro
A primeira é unha clave privada ausente, o que significa que o proceso de inscrición ou de importación non entregou ningunha. A segunda é un almacén que o cliente non consulta: un perfil con ámbito de usuario busca no llavero do usuario, e un elemento colocado nun almacén do sistema pode resultarlle invisible. A terceira é un desaxuste de propósito ou de política: o certificado existe, pero non é válido para a autenticación de clientes segundo as regras do despregamento.
security find-identity -v -p ssl-clientIsto enumera as identidades que o sistema considera válidas para a autenticación de clientes. Se a contaxe é cero, o problema está antes do cliente VPN e ningunha edición do perfil o arranxará. Se a identidade aparece aquí pero non no cliente, a diferenza está no almacén ou no ámbito do cliente.
Onde vive a clave privada e quen pode usala
Cando importas unha identidade con Acceso ao Llavero, o diálogo de importación ofrece un llavero de destino. Que destino é correcto depende do cliente e de se o perfil ten ámbito de usuario ou de dispositivo. Unha resposta antiga que recomenda o llavero do sistema non é unha regra universal, e copiar elementos entre almacéns non é unha reparación.
System Roots é unha colección de confianza. Poñer un certificado alí cambia que emisores confía o sistema; non crea unha clave privada e non é un almacén de identidades. Mover certificados non relacionados para encher un selector é o tipo de arranxo que deixa unha máquina cun conxunto de confianza ampliado de forma permanente.
O acceso á clave privada é un control aparte. Conceder a todas as aplicacións permiso para usar a clave resolve o problema de selección dun cliente e entrega a mesma capacidade a todo o demais na máquina. Concédellelo ao cliente que o necesita e comproba se a clave está respaldada por hardware ou marcada como non exportábel; se o está, hai que usar o provedor admitido en lugar dunha copia exportada.
Como apunta o perfil á credencial
Nunha configuración IKEv2 nativa xestionada, o perfil fai referencia á súa carga de credenciais mediante PayloadCertificateUUID. O que importa é a identidade referenciada e como se aprovisionou; editar un nome para mostrar no perfil non repara unha referencia que apunta á carga equivocada ou a unha que nunca entregou unha clave.
Un provedor de terceiros pode usar un mecanismo de selección completamente distinto, como o seu propio almacén ou un aviso do sistema. Le a documentación dese provedor en lugar de trasladar suposicións de perfís nativos, e verifica a referencia no perfil que está realmente instalado, non no borrador da consola de administración.
Selección e aceptación son fitos separados
Un selector poboado significa que o cliente pode atopar e usar unha identidade. Non di nada sobre se a pasarela a aceptará. O servidor segue comprobando o emisor, a xanela de validez, o estado de revocación e a asignación desa credencial a unha conta.
Proba ambas as etapas de forma explícita, nesa orde. Confirma que se ofrece a identidade, conéctate e logo pide ao propietario da pasarela que confirme que credencial se presentou e que regra de asignación a consumiu. Se o cliente ofrece unha identidade e o servidor a rexeita, o traballo restante está do lado do servidor. Reinstalar o certificado no Mac non cambiará ese resultado, por moitas veces que se repita.