Mac IKEv2 ECDSA: melyik tanúsítványtípus tartozik az ügyfélhez?
Macen az IKEv2 beállításaiban az ECDSA256 a helyi identitástanúsítványt írja le, nem az átjárót vagy a kibocsátó aláírását. Választás előtt olvassa el minden szerepet.
macOS-en az IKEv2 ügyfélbeállítás ECDSA-választása szűk kérdésre válaszol: melyik tanúsítvány bizonyítja a Mac identitását. Nem írja le az átjáró tanúsítványát, az ügyféltanúsítványt kiállító aláírást, sem az alagút titkosítási javaslatát. Ezt a négy szerepet egyetlen kompatibilitási kérdésként kezelni vezet ahhoz, hogy egy helyes helyi beállítást a kiszolgáló oldali eltérés miatt okolnak. A döntés kicsi, de a meghozatalához használt bizonyítékoknak pontosnak kell lenniük.
A mező egy tanúsítványt nevez meg: a helyi identitást
Az Apple Network Extension API-ja tanúsítványtípust tesz elérhetővé az ügyfél hitelesítő adataihoz, köztük NEVPNIKEv2CertificateType.ECDSA256, amelyet ECDSA p-256 tanúsítványtípusként dokumentáltak. A tulajdonság a identityReference vagy identityData útvonalon átadott tanúsítványra vonatkozik.
Ez azt jelenti, hogy a döntés a Mac által bemutatott tanúsítványról és a hozzá tartozó privát kulcsról szól. Válassza azt a típust, amely megfelel a levéltanúsítvány nyilvános kulcsának, és adja át az identitást a támogatott mechanizmuson keresztül. Ha a Macnek nincs használható privát kulcsa az identitáshoz, a típusválasztás nem mentheti meg a kapcsolatot.
A felügyelt profilok ugyanezt a döntést az IKEv2 hasznos teher CertificateType mezőjén keresztül hozzák meg, egy tanúsítványhivatkozással, például PayloadCertificateUUID. Ezeknek a mezőknek előfeltételei és sémája van a cél operációs rendszer verziójához; a profilba másolt csupasz típusérték nem telepíthető, és egy beállítási ablak nem feltétlenül mutat minden API-opciót. Telepítés előtt ellenőrizze a hasznos teher előfeltételeit arra a verzióra.
Szerep szerint döntsön, ne a tanúsítvány címkéje szerint
Olvassa el a módosítani kívánt mezőt, és kérdezze meg, melyik tanúsítványra mutat. A tanúsítványmegjelenítő címkéi összekeverik a tulajdonost, a kibocsátót és az aláírási algoritmust, és ezek közül csak egy tartozik az ügyfélidentitás választásához.
| What you inspected | What it controls | Does it choose the Mac certificate type? |
|---|---|---|
| Client leaf public key | The identity the Mac presents | Yes, this is the field's subject |
| Issuer signature algorithm | How the client certificate was signed | No |
| Gateway certificate | What the Mac validates as the peer | No, check it separately |
| IKE and ESP proposals | Algorithms for the tunnel | No, separate proposal settings |
Ha a tanúsítványmegjelenítő ECDSA-aláírást mutat a CA-tól, az a kibocsátó aláíró kulcsát írja le. Az ügyfél saját kulcsa továbbra is lehet RSA, és a típusmezőnek az ügyfél kulcsát kell követnie, nem az aláírás sort. Ez az egyetlen félreértés magyarázza sok "az ECDSA be van állítva, de a kapcsolat meghiúsul" jelentést. Hasonlítsa össze a levél kulcstípusát a profilban választott típussal, mielőtt bármit módosítana.
A döntés egyszerűbbé válik, ha a levél azonosítva van: ECDSA256 egy p-256 ügyfélkulcshoz, más támogatott típus egy eltérő kulcshoz. Ha az ügyféltanúsítvány és kulcsa nem illeszkedik, javítsa ki ezt a párt, mielőtt módosítja a VPN-profilt.
Az átjáró tanúsítványa külön döntés
Az átjáró a saját tanúsítványát mutatja be, és a Mac a megbízhatósági horgonyhoz és egy elvárt névhez viszonyítva ellenőrzi. Hogy az a tanúsítvány ECDSA-t, RSA-t vagy más kulcstípust használ, a kiszolgáló tulajdonsága, nem az ügyfélidentitás beállításáé.
Az ECDSA ügyféltanúsítvány helyi támogatása nem bizonyítja, hogy minden átjárótanúsítvány, görbe vagy kiszolgáló-hitelesítési konfiguráció együtt fog működni. Ellenőrizze a kiszolgáló identitását, láncát és IKE-hitelesítési módszerét külön bemenetként, és azzal a profillal teszteljen, amelyet valóban telepítenek.
Ha az átjáró tanúsítványa a probléma, a tünet általában a partner ellenőrzésekor jelentkezik, nem az identitásválasztásnál. Olvassa el a hiba szakaszát, mielőtt módosítja az ügyfél típusát, mert a megbízhatósági hiba és az ügyfélkulcs eltérése nem ugyanazzal a javítással orvosolható.
A kibocsátó aláírása és a kulcsegyeztetési csoport nem az ügyfél típusa
Az X.509 a tulajdonos nyilvános kulcsát és a kibocsátó aláírását külön mezőkben tartja. A tulajdonos nyilvános kulcsinformációja a tanúsítványban lévő kulcsot írja le; az aláírási algoritmus a CA kulcsát és az aláírási műveletet. Csak az első felel meg a tanúsítványtípus beállításának.
Az IKE és Child SA javaslatok másik tengely. Az ECDSA tanúsítványtípus nem ESP-titkosítási választás, és a kulcsegyeztetési csoport módosítása nem választ tanúsítványtípust. Egy profilban lehetnek érvényes javaslatok és rossz identitástípus, vagy helyes identitástípus és a partner által elutasított javaslat.
Tartsa külön a három sort a változásnaplóban: identitástanúsítvány és kulcs, az átjáró megbízhatósági bemenetei és a javaslatok algoritmusai. Egyetlen "kriptobeállítások" jegyzetbe vonásuk a következő hibát hozzárendelhetetlenné teszi.
Ellenőrizze a döntést a beállított mezőkkel
Ellenőrizze, hogy a profil valójában melyik identitásra hivatkozik, majd erősítse meg, hogy azon a hivatkozáson a tanúsítványnak megvan az elvárt nyilvános kulcsa és egy használható privát kulcsa. A felületen megjelenített típusnak, a hivatkozott tanúsítványnak és az eszközön lévő kulcsnak egyeznie kell.
Ezután erősítse meg az átjáró bemeneteit: az elvárt kiszolgálónevet, a megbízhatósági horgonyt és az IKE-hitelesítési módszert. Végül csatlakozzon, és olvassa le, hol áll meg a kézfogás. Az identitáscsere előtti hiba eltávolít ettől a beállítástól; a partner ellenőrzésekor fellépő hiba az átjáró oldalára mutat.
Jegyezze fel a választott típust, az identitáshivatkozást és az átjárótanúsítvány tulajdonosát a telepítési jegyzetekbe. A következő profilfrissítés bármelyiket megváltoztathatja, és három megnevezett értéket gyorsabb összehasonlítani, mint egy beállítási panel képernyőképét.