Mac IKEv2 ECDSA: tipe sertifikat mana yang milik klien?
Di Mac, ECDSA256 di pengaturan IKEv2 menjelaskan sertifikat identitas lokal, bukan gateway atau tanda tangan penerbit. Baca setiap peran sebelum memilih.
Di macOS, pilihan ECDSA di pengaturan klien IKEv2 menjawab pertanyaan sempit: sertifikat mana yang membuktikan identitas Mac. Pilihan itu tidak menjelaskan sertifikat gateway, tanda tangan yang menerbitkan sertifikat klien, atau proposal enkripsi untuk terowongan. Memperlakukan keempat peran itu sebagai satu pertanyaan kompatibilitas adalah cara pengaturan lokal yang benar disalahkan atas ketidakcocokan di sisi server. Keputusannya kecil, tetapi bukti yang dipakai untuk mengambilnya harus tepat.
Bidang ini menamai satu sertifikat: identitas lokal
Network Extension API dari Apple mengekspos tipe sertifikat untuk kredensial klien, termasuk NEVPNIKEv2CertificateType.ECDSA256, yang didokumentasikan sebagai tipe sertifikat ECDSA p-256. Properti ini berlaku untuk sertifikat yang disediakan melalui identityReference atau identityData.
Artinya, keputusan ini menyangkut sertifikat yang disajikan Mac, ditambah kunci privat yang menyertainya. Pilih tipe yang cocok dengan kunci publik sertifikat daun tersebut dan sediakan identitas melalui mekanisme yang didukung. Jika Mac tidak memiliki kunci privat yang dapat dipakai untuk identitas, pilihan tipe tidak dapat menyelamatkan koneksi.
Profil terkelola mengambil keputusan yang sama melalui CertificateType pada payload IKEv2, dipasangkan dengan referensi sertifikat seperti PayloadCertificateUUID. Bidang-bidang itu memiliki prasyarat dan skema untuk versi OS target; nilai tipe telanjang yang disalin ke profil tidak dapat dipasang, dan jendela pengaturan mungkin tidak menampilkan setiap opsi API. Periksa prasyarat payload untuk versi tersebut sebelum penerapan.
Putuskan berdasarkan peran, bukan label sertifikat
Baca bidang yang akan Anda ubah dan tanyakan sertifikat mana yang ditunjuknya. Label di penampil sertifikat mencampur subjek, penerbit, dan algoritma tanda tangan, dan hanya satu di antaranya termasuk dalam pilihan identitas klien.
| What you inspected | What it controls | Does it choose the Mac certificate type? |
|---|---|---|
| Client leaf public key | The identity the Mac presents | Yes, this is the field's subject |
| Issuer signature algorithm | How the client certificate was signed | No |
| Gateway certificate | What the Mac validates as the peer | No, check it separately |
| IKE and ESP proposals | Algorithms for the tunnel | No, separate proposal settings |
Jika penampil sertifikat menampilkan tanda tangan ECDSA dari CA, itu menjelaskan kunci penandatanganan penerbit. Kunci klien sendiri bisa masih RSA, dan bidang tipe harus mengikuti kunci klien, bukan baris tanda tangan. Kebingungan tunggal ini menjelaskan banyak laporan "ECDSA sudah dikonfigurasi tetapi koneksi gagal". Bandingkan tipe kunci di daun dengan tipe yang dipilih di profil sebelum mengubah apa pun.
Keputusan menjadi lebih sederhana setelah daun diidentifikasi: ECDSA256 untuk kunci klien p-256, tipe lain yang didukung untuk kunci yang berbeda. Jika sertifikat klien dan kuncinya tidak cocok, perbaiki pasangan itu sebelum mengubah profil VPN.
Sertifikat gateway adalah keputusan terpisah
Gateway menyajikan sertifikatnya sendiri dan Mac memvalidasinya terhadap jangkar kepercayaan dan nama yang diharapkan. Apakah sertifikat itu memakai ECDSA, RSA, atau tipe kunci lain adalah properti server, bukan pengaturan identitas klien.
Dukungan lokal untuk sertifikat klien ECDSA tidak membuktikan bahwa setiap sertifikat gateway, kurva, atau konfigurasi autentikasi server akan saling beroperasi. Periksa identitas server, rantainya, dan metode autentikasi IKE sebagai masukan terpisah, lalu uji dengan profil yang benar-benar akan diterapkan.
Jika sertifikat gateway adalah masalahnya, gejalanya biasanya muncul saat validasi rekan, bukan saat pemilihan identitas. Baca tahap kegagalan sebelum mengubah tipe klien, karena kegagalan kepercayaan dan ketidakcocokan kunci klien tidak berbagi perbaikan yang sama.
Tanda tangan penerbit dan grup kesepakatan kunci bukan tipe klien
X.509 menyimpan kunci publik subjek dan tanda tangan penerbit di bidang yang berbeda. Informasi kunci publik subjek menjelaskan kunci di sertifikat; algoritma tanda tangan menjelaskan kunci CA dan operasi penandatanganan. Hanya yang pertama cocok dengan pengaturan tipe sertifikat.
Proposal IKE dan Child SA adalah sumbu lain. Tipe sertifikat ECDSA bukan pilihan enkripsi ESP, dan mengubah grup kesepakatan kunci tidak memilih tipe sertifikat. Profil dapat memiliki proposal yang valid dan tipe identitas yang salah, atau tipe identitas yang benar dan proposal yang ditolak rekan.
Pisahkan tiga baris dalam catatan perubahan: sertifikat dan kunci identitas, masukan kepercayaan gateway, dan algoritma proposal. Menggabungkannya dalam satu catatan "pengaturan kripto" membuat kegagalan berikutnya mustahil diatribusikan.
Verifikasi keputusan dengan bidang yang Anda konfigurasi
Periksa identitas yang benar-benar dirujuk profil, lalu pastikan sertifikat pada referensi itu memiliki kunci publik yang diharapkan dan kunci privat yang dapat dipakai. Tipe yang ditampilkan di antarmuka, sertifikat yang dirujuk, dan kunci di perangkat harus sesuai.
Selanjutnya pastikan masukan gateway: nama server yang diharapkan, jangkar kepercayaan, dan metode autentikasi IKE. Terakhir, hubungkan dan baca di mana jabat tangan berhenti. Kegagalan sebelum pertukaran identitas menjauhkan dari pengaturan ini; kegagalan saat validasi rekan mengarah ke sisi gateway.
Catat tipe yang dipilih, referensi identitas, dan subjek sertifikat gateway dalam catatan penerapan. Pembaruan profil berikutnya dapat mengubah salah satunya, dan tiga nilai bernama lebih cepat dibandingkan daripada tangkapan layar panel pengaturan.