Mac VPN certifikat: zašto izbornik identiteta ostaje prazan
Klijent treba certifikat s pripadajućim privatnim ključem, u spremištu koje čita. Prvo provjerite identitet, a zatim prihvaća li ga pristupnik.
Instalirali ste certifikat, pojavljuje se u Pristupu ključevima s prijateljskim imenom, a izbornik identiteta VPN klijenta i dalje je prazan. Klijent ne traži certifikat. Traži identitet: certifikat uparen s privatnim ključem koji može dokazati posjedovanje, pohranjen tamo gdje ga klijent smije čitati.
Ono što klijent traži jest identitet
Appleov sigurnosni okvir tretira certifikat i identitet kao različite objekte. Certifikat je javni podatak. Identitet je taj certifikat plus njegov privatni ključ, i samo identitet može dovršiti izazov. Pouzdan CA certifikat, pak, omogućuje klijentu procjenu izdavatelja; ne čini računalo vlasnikom izdanih klijentskih vjerodajnica.
| Item | What it can do | What it cannot do |
|---|---|---|
| CA or server certificate | Validate the gateway's chain | Authenticate this client |
| Client certificate without key | Nothing for authentication | Prove possession of anything |
| Identity (cert plus key) | Answer the authentication challenge | Guarantee the gateway accepts it |
Zato uvoz datoteke .cer nikada ne stvara upotrebljiv klijentski identitet. Datoteka nosi samo javni materijal, i nikakvo preimenovanje ni ukazivanje povjerenja ne čini je parom ključeva.
Tri razloga zašto izbornik ostaje prazan
Prvi je nedostajući privatni ključ, što znači da ga proces upisa ili uvoza nije dostavio. Drugi je spremište koje klijent ne pregledava: profil s korisničkim opsegom gleda u korisnikov ključni prsten, a stavka smještena u sustavno spremište može mu biti nevidljiva. Treći je neusklađenost namjene ili pravila, gdje certifikat postoji ali nije valjan za provjeru autentičnosti klijenta prema pravilima implementacije.
security find-identity -v -p ssl-clientOvo navodi identitete koje sustav smatra valjanima za provjeru autentičnosti klijenta. Ako je broj nula, problem je uzvodno od VPN klijenta i nikakvo uređivanje profila ga neće ispraviti. Ako se identitet pojavljuje ovdje ali ne u klijentu, razlika je u spremištu ili opsegu klijenta.
Gdje živi privatni ključ i tko ga smije koristiti
Kada uvezete identitet putem Pristupa ključevima, dijalog uvoza nudi odredišni ključni prsten. Koje je odredište ispravno ovisi o klijentu i o tome je li profil korisničkog ili uređajnog opsega. Stari odgovor koji preporučuje sustavni ključni prsten nije univerzalno pravilo, a kopiranje stavki između spremišta nije popravak.
System Roots zbirka je povjerenja. Stavljanje certifikata tamo mijenja koje izdavatelje sustav pouzdaje; ne stvara privatni ključ i nije spremište identiteta. Premještanje nepovezanih certifikata radi popunjavanja izbornika vrsta je popravka koji računalo ostavlja s trajno proširenim skupom povjerenja.
Pristup privatnom ključu zasebna je kontrola. Davanje svakoj aplikaciji dopuštenja za korištenje ključa rješava problem odabira jednog klijenta i predaje istu mogućnost svemu ostalom na računalu. Dajte ga klijentu kojem je potreban i provjerite je li ključ hardverski potpomognut ili označen kao neizvoziv; ako jest, mora se koristiti podržani pružatelj umjesto izvezene kopije.
Kako profil pokazuje na vjerodajnicu
U upravljanoj izvornoj IKEv2 konfiguraciji profil upućuje na svoj nosivi dio vjerodajnice putem PayloadCertificateUUID. Bitni su navedeni identitet i način na koji je osiguran; uređivanje prikazanog imena u profilu ne popravlja uputu koja pokazuje na pogrešan nosivi dio ili na onaj koji nikada nije dostavio ključ.
Pružatelj treće strane može koristiti posve drugačiji mehanizam odabira, poput vlastitog spremišta ili sustavnog upita. Pročitajte dokumentaciju tog pružatelja umjesto prenošenja pretpostavki izvornog profila i provjerite uputu u profilu koji je stvarno instaliran, a ne u nacrtu u upravljačkoj konzoli.
Odabir i prihvaćanje odvojeni su miljokazi
Popunjen izbornik znači da klijent može pronaći i koristiti identitet. To ništa ne govori o tome hoće li ga pristupnik prihvatiti. Poslužitelj još provjerava izdavatelja, razdoblje valjanosti, status opoziva i mapiranje te vjerodajnice na račun.
Testirajte obje faze izričito, tim redoslijedom. Potvrdite da se identitet nudi, povežite se i zatim zamolite vlasnika pristupnika da potvrdi koja je vjerodajnica predstavljena i koje je pravilo mapiranja tu vjerodajnicu potrošilo. Ako klijent nudi identitet, a poslužitelj ga odbija, preostali je posao na strani poslužitelja. Ponovna instalacija certifikata na Macu neće promijeniti taj ishod, koliko god se puta ponovila.