Mac VPN-tanúsítvány: miért marad üres az identitásválasztó
Az ügyfélnek tanúsítványra van szüksége a privát kulcsával együtt, egy olyan tárolóban, amelyet olvas. Először az identitást ellenőrizze, aztán azt, hogy az átjáró elfogadja-e.
Telepítette a tanúsítványt, az megjelenik a Kulcskarikában egy barátságos névvel, és a VPN-ügyfél identitásválasztója továbbra is üres. Az ügyfél nem tanúsítványt keres. Identitást keres: egy tanúsítványt, amely a privát kulcsával párosul, és képes a birtoklás bizonyítására, ott tárolva, ahol az ügyfél olvashatja.
Amit az ügyfél kér, az egy identitás
Az Apple biztonsági keretrendszere a tanúsítványt és az identitást különböző objektumként kezeli. A tanúsítvány nyilvános adat. Az identitás az a tanúsítvány plusz a privát kulcsa, és csak az identitás tud egy kihívást teljesíteni. Egy megbízható CA-tanúsítvány viszont lehetővé teszi az ügyfél számára a kibocsátó értékelését; nem teszi a gépet a kiadott ügyfél-hitelesítő birtokosává.
| Item | What it can do | What it cannot do |
|---|---|---|
| CA or server certificate | Validate the gateway's chain | Authenticate this client |
| Client certificate without key | Nothing for authentication | Prove possession of anything |
| Identity (cert plus key) | Answer the authentication challenge | Guarantee the gateway accepts it |
Ezért a .cer fájl importálása soha nem hoz létre használható ügyfél-identitást. A fájl csak nyilvános anyagot hordoz, és semmilyen átnevezés vagy megbízás nem teszi kulcspárrá.
Három ok, amiért a választó üres marad
Az első a hiányzó privát kulcs, ami azt jelenti, hogy a regisztrációs vagy importálási folyamat nem adott át egyet sem. A második egy olyan tároló, amelyet az ügyfél nem néz meg: a felhasználói hatókörű profil a felhasználó kulcskarikájában keres, és a rendszertárolóba helyezett elem láthatatlan lehet számára. A harmadik a cél vagy a szabályzat eltérése, amikor a tanúsítvány létezik, de a telepítés szabályai szerint nem érvényes az ügyfél-hitelesítésre.
security find-identity -v -p ssl-clientEz felsorolja azokat az identitásokat, amelyeket a rendszer érvényesnek tekint az ügyfél-hitelesítéshez. Ha a szám nulla, a probléma a VPN-ügyféltől feljebb van, és semmilyen profilbeállítás nem javítja meg. Ha az identitás itt megjelenik, de az ügyfélben nem, a különbség az ügyfél tárolójában vagy hatókörében van.
Hol él a privát kulcs, és ki használhatja
Amikor identitást importál a Kulcskarika segítségével, az importálási párbeszéd cél-kulcskarikát ajánl fel. Hogy melyik cél a helyes, az ügyféltől és attól függ, hogy a profil felhasználói vagy eszközhatókörű-e. Egy régi válasz, amely a rendszer-kulcskarikát ajánlja, nem általános szabály, és az elemek tárolók közötti másolása nem javítás.
A System Roots egy megbízási gyűjtemény. Ha oda tesz egy tanúsítványt, az megváltoztatja, hogy a rendszer mely kibocsátókban bízik; nem hoz létre privát kulcsot, és nem identitástároló. A nem kapcsolódó tanúsítványok mozgatása egy választó feltöltéséhez az a fajta javítás, amely a gépet véglegesen kibővített megbízási halmazzal hagyja.
A privát kulcshoz való hozzáférés külön vezérlés. Minden alkalmazásnak engedélyt adni a kulcs használatára megoldja az egyik ügyfél kiválasztási problémáját, és ugyanezt a képességet adja a gépen minden másnak. Adja annak az ügyfélnek, amelyiknek szüksége van rá, és ellenőrizze, hogy a kulcs hardveresen támogatott-e vagy nem exportálhatónak van jelölve; ha igen, a támogatott szolgáltatót kell használni az exportált másolat helyett.
Hogyan mutat a profil a hitelesítőre
Egy felügyelt natív IKEv2-konfigurációban a profil a hitelesítő hasznos terhére PayloadCertificateUUID útján hivatkozik. A hivatkozott identitás és az ellátásának módja számít; a profilban a megjelenített név szerkesztése nem javítja azt a hivatkozást, amely rossz teherre vagy olyanra mutat, amely soha nem adott át kulcsot.
Egy harmadik féltől származó szolgáltató teljesen más kiválasztási mechanizmust használhat, például saját tárolót vagy rendszerkérdést. Olvassa el annak a szolgáltatónak a dokumentációját ahelyett, hogy a natív profil feltevéseit viszi át, és ellenőrizze a hivatkozást a ténylegesen telepített profilban, nem a felügyeleti konzol piszkozatában.
A kiválasztás és az elfogadás külön mérföldkövek
A feltöltött választó azt jelenti, hogy az ügyfél meg tudja találni és használni tudja az identitást. Ez semmit sem mond arról, hogy az átjáró elfogadja-e. A kiszolgáló továbbra is ellenőrzi a kibocsátót, az érvényességi ablakot, a visszavonási állapotot és a hitelesítő fiókhoz való leképezését.
Mindkét szakaszt kifejezetten tesztelje, ebben a sorrendben. Erősítse meg, hogy az identitást felajánlják, csatlakozzon, majd kérje meg az átjáró tulajdonosát, hogy erősítse meg, melyik hitelesítőt mutatták be, és melyik leképezési szabály használta fel. Ha az ügyfél felajánl egy identitást, és a kiszolgáló elutasítja, a fennmaradó munka a kiszolgáló oldalán van. A tanúsítvány újratelepítése a Macen nem változtat ezen az eredményen, akárhányszor ismétlik meg.