Sertifikat VPN Mac: akun mana yang dilihat gateway?
Label profil, kredensial, dan kolom akun menjawab pertanyaan yang berbeda. Ikuti principal hingga pemetaan di gateway sebelum mengganti nama apa pun.
Profil menampilkan nama Anda, label sertifikat yang terlihat mengatakan hal lain, dan log gateway mencatat pengenal ketiga. Tidak ada yang berbohong, dan itulah masalahnya: tiga kolom berbeda dibaca seolah menjawab satu pertanyaan. Koneksi menyajikan kredensial, pengenal IKEv2, dan akun, dan gateway memutuskan mana di antaranya yang mengizinkan apa.
Tiga identitas dalam satu koneksi
Nama profil yang terlihat adalah label bagi manusia. Ia memilih koneksi dan tidak lebih. Sertifikat adalah kredensial, dan apakah ia dapat membuktikan sesuatu bergantung pada apakah klien memegang kunci privat yang cocok. Kolom akun adalah klaim tentang principal, dan server bebas memetakannya ke identitas lokal yang berbeda.
Ketika autentikasi gagal, tanyakan ke mana dari ketiganya kesalahan itu merujuk. Kredensial yang ditolak, pengenal yang tidak dikenal, dan akun yang dinonaktifkan menghasilkan pesan berbeda, dan memperlakukannya sebagai satu «masalah sertifikat» mengirim Anda ke konsol yang salah.
Baca kolom asli sesuai tugasnya
Dalam konfigurasi IKEv2 asli yang dikelola, referensi muatan Apple memisahkan nilainya, dan metode autentikasi menentukan kombinasi mana yang diperlukan:
| Field | Identifies | Common misreading |
|---|---|---|
| AuthName | Username for the configured arrangement | Assuming it is the certificate subject |
| LocalIdentifier | IKEv2 client identifier | Assuming it must equal the username |
| PayloadCertificateUUID | Referenced credential payload | Assuming any installed certificate will do |
Sertifikat dan login EAP dapat memiliki peran berbeda dalam koneksi yang sama. Jangan memaksa setiap kolom memuat teks yang sama hanya karena salah satunya demikian, dan jangan menganggap bahwa mengubah satu menimpa yang lain. Aplikasi VPN pihak ketiga dapat menampilkan model yang sama sekali berbeda; gunakan pemilihan identitasnya yang terdokumentasi alih-alih membawa nama kolom asli ke dalamnya.
Sertifikat server bukan identitas klien
Sertifikat yang memvalidasi gateway adalah jangkar kepercayaan. Ia membuktikan bahwa Anda mencapai server yang Anda harapkan. Identitas klien adalah objek yang berbeda: ia mencakup akses ke kunci privat yang membuktikan bahwa pihak yang terhubung adalah siapa yang diklaimnya. Mengganti nama akun yang terlihat tidak dapat mengubah yang satu menjadi yang lain.
Di sinilah perbaikan yang berniat baik menjadi salah. Mengimpor sertifikat CA gateway ke penyimpanan klien tidak melakukan apa pun untuk autentikasi klien, dan memberi label entri itu dengan nama pengguna tidak menjadikannya identitas pengguna. Kedua objek itu hidup di bagian berbeda dari profil dan menjawab pertanyaan berbeda.
Ikuti principal hingga pemetaan di gateway
Pastikan untuk apa kredensial diterbitkan: pengguna ini, perangkat ini, atau peran bersama. Akun login Mac tidak otomatis merupakan principal itu, dan sertifikat yang disalin dari mesin lain mempertahankan identitas mesin tempat sertifikat itu diterbitkan.
Lalu bandingkan kredensial yang sebenarnya, bukan labelnya. Penerbit, nomor seri, dan sidik jari memungkinkan Anda dan administrator memastikan bahwa Anda membahas objek yang sama. Nama tampilan dapat diedit dan sering diduplikasi, yang menjadikannya pengenal terburuk yang mungkin selama insiden.
Langkah terakhir ada di gateway. Mintalah pemiliknya mengorelasikan satu koneksi dengan pengenal yang disajikan dan aturan pemetaan akun yang mengonsumsinya. Label di sisi klien tidak dapat menetapkan apa yang diputuskan server, dan aturan yang memetakan sertifikat ke akun yang dinonaktifkan akan gagal sementara semua kolom di sisi klien tampak benar.
Perbaiki lapisan yang memiliki ketidakcocokan itu
Jika profil menunjuk ke kredensial yang salah, perbaiki referensi atau pemilihannya. Jika kredensial itu milik principal lain, lewati pendaftaran ulang penerbit alih-alih menyunting label. Jika gateway mengikat kredensial yang valid ke akun yang salah, pemilik kebijakannya harus memperbaiki pemetaan. Itu tiga perubahan berbeda dengan tiga penyetuju berbeda.
Perpanjangan layak mendapat perhatian yang sama. Menukar sertifikat, mengganti nama label yang terlihat, dan memindahkan orang antar sistem akun tidak selalu memengaruhi pemetaan dengan cara yang sama. Catat mana dari ketiganya yang Anda ubah, karena kegagalan berikutnya akan tampak identik dari klien dan berbeda di log gateway.
Bagikan hanya pengenal publik minimal yang dibutuhkan dukungan. Kunci privat atau bundel identitas lengkap tidak pernah menjadi bagian dari pertukaran itu, betapa pun nyamannya untuk diagnosis.