Mac IKEv2 ECDSA: koji tip certifikata pripada klijentu?
Na Macu ECDSA256 u IKEv2 postavkama opisuje lokalni certifikat identiteta, a ne pristupnik ili potpis izdavatelja. Pročitajte svaku ulogu prije odabira.
Na macOS-u izbor ECDSA u postavci IKEv2 klijenta odgovara na usko pitanje: koji certifikat dokazuje identitet Maca. On ne opisuje certifikat pristupnika, potpis kojim je izdan klijentski certifikat, ni prijedlog šifriranja za tunel. Tretiranje te četiri uloge kao jednog pitanja kompatibilnosti je način na koji ispravna lokalna postavka bude okrivljena za nesklad na strani poslužitelja. Odluka je mala, ali dokazi na kojima se zasniva moraju biti precizni.
Polje imenuje jedan certifikat: lokalni identitet
Appleov Network Extension API izlaže tip certifikata za klijentske vjerodajnice, uključujući NEVPNIKEv2CertificateType.ECDSA256, dokumentiran kao tip certifikata ECDSA p-256. Svojstvo se primjenjuje na certifikat dostavljen kroz identityReference ili identityData.
To znači da se odluka tiče certifikata koji Mac predstavlja, plus privatnog ključa koji ide s njim. Odaberite tip koji odgovara javnom ključu tog lisnog certifikata i dostavite identitet kroz podržani mehanizam. Ako Mac nema upotrebljiv privatni ključ za identitet, izbor tipa ne može spasiti vezu.
Upravljani profili donose istu odluku kroz CertificateType IKEv2 korisnog tereta, u paru s referencom na certifikat kao što je PayloadCertificateUUID. Ta polja imaju preduvjete i shemu za ciljno izdanje OS-a; gola vrijednost tipa kopirana u profil nije instalabilna, a prozor postavki možda ne izlaže svaku API opciju. Provjerite preduvjete korisnog tereta za to izdanje prije primjene.
Odlučujte po ulozi, a ne po oznaci certifikata
Pročitajte polje koje ćete promijeniti i pitajte na koji certifikat pokazuje. Oznake u pregledniku certifikata miješaju subjekt, izdavatelja i algoritam potpisa, a samo jedna od njih pripada izboru identiteta klijenta.
| What you inspected | What it controls | Does it choose the Mac certificate type? |
|---|---|---|
| Client leaf public key | The identity the Mac presents | Yes, this is the field's subject |
| Issuer signature algorithm | How the client certificate was signed | No |
| Gateway certificate | What the Mac validates as the peer | No, check it separately |
| IKE and ESP proposals | Algorithms for the tunnel | No, separate proposal settings |
Ako preglednik certifikata prikazuje ECDSA potpis od CA, to opisuje ključ za potpisivanje izdavatelja. Klijentov vlastiti ključ i dalje može biti RSA, a polje tipa treba slijediti klijentski ključ, a ne red potpisa. Ova jedna zabuna objašnjava mnoga izvješća "ECDSA je konfiguriran, ali veza ne uspijeva". Usporedite tip ključa u listu s tipom odabranim u profilu prije nego što bilo što promijenite.
Odluka postaje jednostavnija kada se list identificira: ECDSA256 za p-256 klijentski ključ, drugi podržani tip za drugačiji ključ. Ako se klijentski certifikat i njegov ključ ne podudaraju, popravite taj par prije promjene VPN profila.
Certifikat pristupnika je zasebna odluka
Pristupnik predstavlja vlastiti certifikat i Mac ga validira prema sidru povjerenja i očekivanom imenu. Da li taj certifikat koristi ECDSA, RSA ili drugi tip ključa, svojstvo je poslužitelja, a ne postavke identiteta klijenta.
Lokalna podrška za ECDSA klijentski certifikat ne dokazuje da će svaki certifikat pristupnika, krivulja ili konfiguracija autentifikacije poslužitelja međusobno raditi. Provjerite identitet poslužitelja, njegov lanac i metodu IKE autentifikacije kao zasebne ulaze i testirajte s profilom koji će zaista biti primijenjen.
Ako je certifikat pristupnika problem, simptom se obično pojavljuje tijekom validacije partnera, a ne pri odabiru identiteta. Pročitajte fazu neuspjeha prije promjene tipa klijenta, jer neuspjeh povjerenja i nesklad klijentskog ključa ne dijele isto rješenje.
Potpis izdavatelja i grupa za dogovor ključeva nisu tip klijenta
X.509 drži javni ključ subjekta i potpis izdavatelja u različitim poljima. Informacije o javnom ključu subjekta opisuju ključ u certifikatu; algoritam potpisa opisuje ključ CA i operaciju potpisivanja. Samo prvo odgovara postavci tipa certifikata.
Prijedlozi IKE i Child SA su druga os. ECDSA tip certifikata nije izbor ESP šifriranja, a promjena grupe za dogovor ključeva ne odabire tip certifikata. Profil može imati valjane prijedloge i pogrešan tip identiteta, ili ispravan tip identiteta i prijedlog koji partner odbija.
Držite tri linije odvojeno u zapisu promjena: certifikat identiteta i ključ, ulazi povjerenja pristupnika i algoritmi prijedloga. Njihovo spajanje u jednu "kripto postavke" bilješku čini sljedeći neuspjeh nemogućim za atribuciju.
Provjerite odluku pomoću polja koja ste konfigurirali
Provjerite identitet na koji profil zaista referencira, zatim potvrdite da certifikat na toj referenci ima očekivani javni ključ i upotrebljiv privatni ključ. Prikazani tip u sučelju, referencirani certifikat i ključ na uređaju moraju se podudarati.
Zatim potvrdite ulaze pristupnika: očekivano ime poslužitelja, sidro povjerenja i metodu IKE autentifikacije. Na kraju se povežite i pročitajte gdje se rukovanje zaustavlja. Neuspjeh prije razmjene identiteta ukazuje dalje od ove postavke; neuspjeh pri validaciji partnera ukazuje na stranu pristupnika.
Zabilježite odabrani tip, referencu identiteta i subjekt certifikata pristupnika u bilješke o primjeni. Sljedeće ažuriranje profila može promijeniti bilo što od toga, a tri imenovane vrijednosti brže se uspoređuju od snimke zaslona ploče s postavkama.