Mac VPN-tanúsítvány: melyik fiókot látja az átjáró?

A profil a nevét mutatja, a tanúsítvány látható címkéje valami mást mond, az átjáró naplója pedig egy harmadik azonosítót rögzít. Egyik sem hazudik, és éppen ez a probléma: három különböző mezőt úgy olvasnak, mintha egyetlen kérdésre válaszolnának. A kapcsolat egy hitelesítő adatot, egy IKEv2-azonosítót és egy fiókot mutat be, és az átjáró dönti el, melyikük mit engedélyez.

Három identitás egy kapcsolatban

A látható profilnév embereknek szóló címke. Kiválaszt egy kapcsolatot és semmi mást. A tanúsítvány hitelesítő adat, és hogy bizonyíthat-e valamit, attól függ, hogy az ügyfél birtokolja-e a hozzá tartozó privát kulcsot. A fiókmező egy principálra vonatkozó állítás, és a kiszolgáló szabadon leképezheti egy másik helyi identitásra.

Amikor a hitelesítés meghiúsul, kérdezze meg, melyikükre vonatkozik a hiba. Az elutasított hitelesítő adat, az ismeretlen azonosító és a letiltott fiók különböző üzeneteket ad, és ha mindet egyetlen «tanúsítványproblémának» tekintjük, a rossz konzolra kerülünk.

A natív mezőket a feladatuk szerint olvassa

Egy felügyelt natív IKEv2-konfigurációban az Apple hasznos teher hivatkozása szétválasztja az értékeket, és a hitelesítési módszer dönti el, melyik kombináció szükséges:

Egy tanúsítványnak és egy EAP-bejelentkezésnek különböző szerepe lehet ugyanabban a kapcsolatban. Ne kényszerítsen minden mezőt ugyanarra a szövegre csak azért, mert az egyikük így tesz, és ne feltételezze, hogy az egyik módosítása felülírja a többit. Egy harmadik féltől származó VPN-alkalmazás teljesen más modellt kínálhat; használja a dokumentált identitásválasztását, ahelyett hogy natív mezőneveket vinne át oda.

A kiszolgáló tanúsítványa nem ügyfélidentitás

Az átjárót hitelesítő tanúsítvány bizalmi horgony. Bizonyítja, hogy elérte a várt kiszolgálót. Az ügyfélidentitás más objektum: magában foglalja a privát kulcshoz való hozzáférést, amely bizonyítja, hogy a csatlakozó fél az, akinek mondja magát. Egy látható fiók átnevezése nem alakíthatja az egyiket a másikká.

Itt megy félre a jó szándékú javítás. Az átjáró CA-tanúsítványának importálása az ügyféltárolóba semmit sem tesz az ügyfél hitelesítéséért, és hogy ezt a bejegyzést a felhasználó nevével címkézi, nem teszi felhasználói identitássá. A két objektum a profil különböző részein él, és különböző kérdésekre válaszol.

Kövesse a principált az átjáró leképezéséig

Erősítse meg, mire adták ki a hitelesítő adatot: erre a felhasználóra, erre az eszközre vagy egy megosztott szerepre. A Mac bejelentkezési fiók nem automatikusan az a principál, és egy másik gépről másolt tanúsítvány megőrzi annak a gépnek az identitását, amelyre kiadták.

Ezután a tényleges hitelesítő adatot hasonlítsa össze, ne a címkét. A kibocsátó, a sorozatszám és az ujjlenyomat lehetővé teszi Önnek és a rendszergazdának, hogy megerősítsék, ugyanarról az objektumról beszélnek. A megjelenített nevek szerkeszthetők és gyakran duplikálódnak, ami a lehető legrosszabb azonosítóvá teszi őket egy incidens során.

Az utolsó lépés az átjárón van. Kérje meg a tulajdonosát, hogy kapcsoljon össze egy kapcsolatot a bemutatott azonosítókkal és a fiókleképezési szabállyal, amely azokat felhasználta. Az ügyféloldali címke nem tudja megállapítani, mit döntött a kiszolgáló, és a tanúsítványt letiltott fiókra leképező szabály meghiúsul, miközben az ügyféloldali mezők mindegyike helyesnek látszik.

Javítsa meg azt a réteget, amelyhez az eltérés tartozik

Ha a profil a rossz hitelesítő adatra mutat, javítsa a hivatkozását vagy a kiválasztását. Ha a hitelesítő adat egy másik principálhoz tartozik, menjen végig a kibocsátó újraregisztrálásán, ne a címkéket szerkessze. Ha az átjáró érvényes hitelesítő adatot a rossz fiókhoz köt, a szabályzat-tulajdonosának kell kijavítania a leképezést. Ez három különböző változtatás, három különböző jóváhagyóval.

A megújítás ugyanazt a gondosságot érdemli. A tanúsítvány cseréje, a látható címke átnevezése és egy személy fiókrendszerek közötti áthelyezése nem feltétlenül ugyanúgy hat a leképezésre. Jegyezze fel, melyiket változtatta meg a háromból, mert a következő hiba az ügyfél felől azonosnak, az átjáró naplójában pedig eltérőnek fog látszani.

Csak a támogatáshoz szükséges minimális nyilvános azonosítókat ossza meg. A privát kulcs vagy a teljes identitáscsomag soha nem része ennek a cserének, bármennyire is kényelmesebbé tenné a diagnózist.