Mac IKEv2 ECDSA. ո՞ր վկայագրատեսակն է պատկանում հաճախորդին։
Mac-ում IKEv2 կարգավորումների ECDSA256-ը նկարագրում է տեղական ինքնության վկայագիրը, ոչ դարպասը կամ թողարկողի ստորագրությունը։ Ընտրելուց առաջ կարդացեք յուրաքանչյուր դերը։
macOS-ում IKEv2 հաճախորդի կարգավորման ECDSA ընտրությունը պատասխանում է նեղ հարցի՝ ո՞ր վկայագիրն է ապացուցում Mac-ի ինքնությունը։ Այն չի նկարագրում դարպասի վկայագիրը, հաճախորդի վկայագիրը թողարկած ստորագրությունը կամ թունելի գաղտնագրման առաջարկը։ Այս չորս դերը որպես մեկ համատեղելիության հարց դիտարկելն այն է, ինչի պատճառով ճիշտ տեղական կարգավորումը մեղադրվում է սերվերի կողմի անհամապատասխանության մեջ։ Որոշումը փոքր է, բայց դրա համար օգտագործվող ապացույցները պետք է ճշգրիտ լինեն։
Դաշտը անվանում է մեկ վկայագիր՝ տեղական ինքնությունը
Apple-ի Network Extension API-ն տրամադրում է վկայագրի տեսակ հաճախորդի հավատարմագրի համար, ներառյալ NEVPNIKEv2CertificateType.ECDSA256-ը, որը փաստաթղթավորված է որպես ECDSA p-256 վկայագրի տեսակ։ Հատկությունը վերաբերում է identityReference-ի կամ identityData-ի միջոցով տրված վկայագրին։
Դա նշանակում է, որ որոշումը վերաբերում է Mac-ի ներկայացրած վկայագրին և դրա հետ կապված անձնական բանալուն։ Ընտրեք այն տեսակը, որը համապատասխանում է այդ տերևային վկայագրի հանրային բանալուն, և ներկայացրեք ինքնությունը աջակցվող մեխանիզմով։ Եթե Mac-ը ինքնության համար օգտագործելի անձնական բանալի չունի, տեսակի ընտրությունը չի կարող փրկել կապը։
Կառավարվող պրոֆիլները նույն որոշումը կայացնում են IKEv2 բեռնվածքի CertificateType-ի միջոցով՝ վկայագրի հղումով, օրինակ PayloadCertificateUUID։ Այդ դաշտերն ունեն նախապայմաններ և սխեմա թիրախային ՕՀ տարբերակի համար՝ պրոֆիլում պատճենված մերկ տեսակի արժեքը տեղադրելի չէ, և կարգավորումների պատուհանը կարող է չցուցադրել API-ի բոլոր ընտրանքները։ Տեղակայումից առաջ ստուգեք բեռնվածքի նախապայմանները այդ տարբերակի համար։
Որոշեք ըստ դերի, ոչ ըստ վկայագրի պիտակի
Կարդացեք այն դաշտը, որը պատրաստվում եք փոխել, և հարցրեք, թե որ վկայագրին է այն ուղղված։ Վկայագրերի դիտիչի պիտակները խառնում են սուբյեկտը, թողարկողին և ստորագրության ալգորիթմը, և դրանցից միայն մեկն է վերաբերում հաճախորդի ինքնության ընտրությանը։
| What you inspected | What it controls | Does it choose the Mac certificate type? |
|---|---|---|
| Client leaf public key | The identity the Mac presents | Yes, this is the field's subject |
| Issuer signature algorithm | How the client certificate was signed | No |
| Gateway certificate | What the Mac validates as the peer | No, check it separately |
| IKE and ESP proposals | Algorithms for the tunnel | No, separate proposal settings |
Եթե վկայագրերի դիտիչը ցույց է տալիս CA-ի ECDSA ստորագրություն, դա նկարագրում է թողարկողի ստորագրման բանալին։ Հաճախորդի սեփական բանալին կարող է դեռ RSA լինել, և տեսակի դաշտը պետք է հետևի հաճախորդի բանալուն, ոչ ստորագրության տողին։ Այս մեկ շփոթությունը բացատրում է բազմաթիվ «ECDSA-ն կարգավորված է, բայց կապը ձախողվում է» հաղորդումներ։ Մինչև ինչ-որ բան փոխելը համեմատեք տերևի բանալու տեսակը պրոֆիլում ընտրված տեսակի հետ։
Որոշումը պարզանում է, երբ տերևը նույնականացված է՝ ECDSA256 p-256 հաճախորդի բանալու համար, մեկ այլ աջակցվող տեսակ՝ այլ բանալու համար։ Եթե հաճախորդի վկայագիրն ու դրա բանալին չեն համապատասխանում, ուղղեք այդ զույգը մինչև VPN պրոֆիլը փոխելը։
Դարպասի վկայագիրը առանձին որոշում է
Դարպասը ներկայացնում է իր սեփական վկայագիրը, և Mac-ը վավերացնում է այն վստահության խարսխի և սպասվող անվան նկատմամբ։ Արդյոք այդ վկայագիրն օգտագործում է ECDSA, RSA կամ բանալու այլ տեսակ, սերվերի հատկություն է, ոչ հաճախորդի ինքնության կարգավորմանը։
ECDSA հաճախորդի վկայագրի տեղական աջակցությունը չի ապացուցում, որ յուրաքանչյուր դարպասի վկայագիր, կոր կամ սերվերի նույնականացման կարգավորում կաշխատի համատեղ։ Ստուգեք սերվերի ինքնությունը, նրա շղթան և IKE նույնականացման մեթոդը որպես առանձին մուտքեր, և փորձարկեք այն պրոֆիլով, որն իրոք կտեղակայվի։
Եթե դարպասի վկայագիրն է խնդիրը, ախտանիշը սովորաբար ի հայտ է գալիս գործընկերոջ վավերացման ժամանակ, ոչ ինքնության ընտրության պահին. Կարդացեք ձախողման փուլը մինչև հաճախորդի տեսակը փոխելը, քանի որ վստահության ձախողումը և հաճախորդի բանալու անհամապատասխանությունը նույն լուծումը չունեն։
Թողարկողի ստորագրությունը և բանալու համաձայնության խումբը հաճախորդի տեսակը չեն
X.509-ը սուբյեկտի հանրային բանալին և թողարկողի ստորագրությունը պահում է տարբեր դաշտերում։ Սուբյեկտի հանրային բանալու տեղեկությունը նկարագրում է վկայագրի բանալին՝ ստորագրության ալգորիթմը նկարագրում է CA-ի բանալին և ստորագրման գործողությունը։ Միայն առաջինն է համապատասխանում վկայագրի տեսակի կարգավորմանը։
IKE և Child SA առաջարկները մեկ այլ առանցք են։ ECDSA վկայագրի տեսակը ESP գաղտնագրման ընտրություն չէ, և բանալու համաձայնության խմբի փոփոխությունը վկայագրի տեսակ չի ընտրում։ Պրոֆիլը կարող է ունենալ վավեր առաջարկներ և սխալ ինքնության տեսակ, կամ ճիշտ ինքնության տեսակ և առաջարկ, որը գործընկերը մերժում է։
Փոփոխությունների մատյանում երեք տողերը պահեք առանձին՝ ինքնության վկայագիր և բանալի, դարպասի վստահության մուտքեր և առաջարկների ալգորիթմներ։ Դրանք մեկ «գաղտնագրման կարգավորումներ» նշումի մեջ միավորելը հաջորդ ձախողումը դարձնում է անհնար վերագրել։
Ստուգեք որոշումը ձեր կարգավորած դաշտերով
Ստուգեք, թե ինքնությանը իսկապես հղում է անում պրոֆիլը, ապա հաստատեք, որ այդ հղման վկայագիրն ունի սպասվող հանրային բանալին և օգտագործելի անձնական բանալի։ Միջերեսում ցուցադրված տեսակը, հղված վկայագիրը և սարքի բանալին պետք է համընկնեն։
Այնուհետև հաստատեք դարպասի մուտքերը՝ սպասվող սերվերի անունը, վստահության խարսխը և IKE նույնականացման մեթոդը։ Վերջում միացեք և կարդացեք, թե որտեղ է կանգնում ձեռքսեղմումը։ Ինքնության փոխանակումից առաջ ձախողումը հեռացնում է այս կարգավորումից՝ գործընկերոջ վավերացման ձախողումը մատնանշում է դարպասի կողմը։
Գրանցեք ընտրված տեսակը, ինքնության հղումը և դարպասի վկայագրի սուբյեկտը տեղակայման նշումներում։ Հաջորդ պրոֆիլի թարմացումը կարող է փոխել դրանցից ցանկացածը, և երեք անվանված արժեքներ ավելի արագ են համեմատվում, քան կարգավորումների վահանակի սքրինշոթը։