תעודת VPN ב-Mac: איזה חשבון רואה השער?
תווית הפרופיל, פרטי ההזדהות ושדה החשבון עונים על שאלות שונות. עקבו אחרי הגורם הראשי עד למיפוי בשער לפני שמשנים שם של משהו.
הפרופיל מציג את שמכם, התווית הנראית של התעודה אומרת משהו אחר, ויומן השער רושם מזהה שלישי. אף אחד מהם לא משקר, וזו בדיוק הבעיה: שלושה שדות שונים נקראים כאילו הם עונים על שאלה אחת. החיבור מציג פרטי הזדהות, מזהה IKEv2 וחשבון, והשער מחליט איזה מהם מאשר מה.
שלוש זהויות בחיבור אחד
שם הפרופיל הנראה הוא תווית לבני אדם. הוא בוחר חיבור ולא דבר אחר. התעודה היא פרט הזדהות, והאם היא יכולה להוכיח משהו תלוי בשאלה אם ללקוח יש את המפתח הפרטי המתאים. שדה החשבון הוא טענה על גורם ראשי, והשרת חופשי למפות אותו לזהות מקומית אחרת.
כשהאימות נכשל, שאלו לאיזה משלושת אלה מתייחסת השגיאה. פרטי הזדהות שנדחו, מזהה לא מוכר וחשבון מושבת מייצרים הודעות שונות, והתייחסות לכולם כ«בעיית תעודה» אחת שולחת אתכם לקונסולה הלא נכונה.
קראו את השדות המקוריים לפי תפקידם
בתצורת IKEv2 מקורית מנוהלת, הפניה למטען הייעודי של Apple מפרידה בין הערכים, ושיטת האימות קובעת איזו שילוב נדרש:
| Field | Identifies | Common misreading |
|---|---|---|
| AuthName | Username for the configured arrangement | Assuming it is the certificate subject |
| LocalIdentifier | IKEv2 client identifier | Assuming it must equal the username |
| PayloadCertificateUUID | Referenced credential payload | Assuming any installed certificate will do |
לתעודה ולהתחברות EAP יכולות להיות תפקידים נפרדים באותו חיבור. אל תכריחו כל שדה להחזיק באותו טקסט רק מפני שאחד מהם עושה זאת, ואל תניחו ששינוי של אחד מבטל את האחרים. יישומון VPN של צד שלישי עשוי לחשוף מודל שונה לגמרי; השתמשו בבחירת הזהות המתועדת שלו במקום להעביר אליו שמות שדות מקוריים.
תעודת שרת אינה זהות לקוח
התעודה שמאמתת את השער היא עוגן אמון. היא מוכיחה שהגעתם לשרת שקיוויתם לו. זהות לקוח היא אובייקט אחר: היא כוללת גישה למפתח הפרטי שמוכיח שהצד המתחבר הוא מי שהוא טוען להיות. שינוי שם של חשבון נראה אינו יכול להפוך אחד לשני.
כאן תיקון בעל כוונות טובות משתבש. ייבוא תעודת ה-CA של השער למאגר הלקוח אינו עושה דבר לאימות הלקוח, ותיוג אותה רשומה בשם המשתמש אינו הופך אותה לזהות משתמש. שני האובייקטים חיים בחלקים שונים של הפרופיל ועונים על שאלות שונות.
עקבו אחרי הגורם הראשי עד למיפוי בשער
ודאו לשם מה הונפקו פרטי ההזדהות: למשתמש הזה, למכשיר הזה או לתפקיד משותף. חשבון הכניסה של Mac אינו בהכרח אותו גורם ראשי, ותעודה שהועתקה ממכונה אחרת שומרת על זהות המכונה שלשמה הונפקה.
לאחר מכן השוו את פרטי ההזדהות בפועל, לא את התווית. מנפיק, מספר סידורי וטביעת אצבע מאפשרים לכם ולמנהל לאשר שאתם דנים באותו אובייקט. שמות תצוגה ניתנים לעריכה ולעיתים קרובות משוכפלים, מה שהופך אותם למזהה הגרוע ביותר האפשרי בזמן תקרית.
השלב האחרון הוא בשער. בקשו מבעליו לתאם חיבור אחד עם המזהים שהוצגו ועם כלל מיפוי החשבונות שצרך אותם. תווית בצד הלקוח אינה יכולה לקבוע מה השרת החליט, וכלל שממפה תעודה לחשבון מושבת ייכשל בעוד כל השדות בצד הלקוח נראים תקינים.
תקנו את השכבה שאחראית לחוסר ההתאמה
אם הפרופיל מצביע על פרטי ההזדהות הלא נכונים, תקנו את ההפניה או את הבחירה שלהם. אם פרטי ההזדהות שייכים לגורם ראשי אחר, עברו דרך רישום מחדש אצל המנפיק במקום לערוך תוויות. אם השער קושר פרטי הזדהות תקפים לחשבון הלא נכון, בעל המדיניות שלו חייב לתקן את המיפוי. אלה שלושה שינויים שונים עם שלושה מאשרים שונים.
החידוש ראוי לאותה הקפדה. החלפת התעודה, שינוי שם התווית הנראית שלה והעברת אדם בין מערכות חשבונות אינם בהכרח משפיעים על המיפוי באותו אופן. תעדו איזה מהשלושה שיניתם, כי הכשל הבא ייראה זהה מצד הלקוח ושונה ביומן השער.
שתפו רק את המזהים הציבוריים המינימליים שהתמיכה זקוקה להם. מפתח פרטי או חבילת זהות מלאה אינם חלק מהחלפה הזו לעולם, עד כמה שזה היה מקל על האבחון.