Sertifikat VPN Mac: mengapa pemilih identitas tetap kosong

Anda memasang sertifikat, sertifikat itu muncul di Keychain Access dengan nama yang ramah, dan pemilih identitas klien VPN masih kosong. Klien tidak mencari sertifikat. Klien mencari identitas: sertifikat yang dipasangkan dengan kunci privat yang dapat membuktikan kepemilikan, disimpan di tempat klien diizinkan membacanya.

Yang diminta klien adalah identitas

Kerangka keamanan Apple memperlakukan sertifikat dan identitas sebagai objek yang berbeda. Sertifikat adalah data publik. Identitas adalah sertifikat itu ditambah kunci privatnya, dan hanya identitas yang dapat menyelesaikan tantangan. Sertifikat CA tepercaya, sebaliknya, memungkinkan klien mengevaluasi penerbit; itu tidak membuat mesin menjadi pemegang kredensial klien yang diterbitkan.

Itulah sebabnya mengimpor berkas .cer tidak pernah menghasilkan identitas klien yang dapat dipakai. Berkas itu hanya membawa materi publik, dan sebanyak apa pun penggantian nama atau pemercayaan tidak membuatnya menjadi pasangan kunci.

Tiga alasan pemilih tetap kosong

Yang pertama adalah kunci privat yang hilang, yang berarti proses pendaftaran atau impor tidak menyerahkannya. Yang kedua adalah penyimpanan yang tidak diperiksa klien: profil dengan cakupan pengguna mencari di keychain pengguna, dan item yang ditempatkan di penyimpanan sistem bisa tidak terlihat olehnya. Yang ketiga adalah ketidaksesuaian tujuan atau kebijakan, ketika sertifikat ada tetapi tidak valid untuk autentikasi klien menurut aturan penerapan.

security find-identity -v -p ssl-client

Ini mendaftar identitas yang dianggap sistem valid untuk autentikasi klien. Jika jumlahnya nol, masalahnya berada di hulu klien VPN dan tidak ada penyuntingan profil yang akan memperbaikinya. Jika identitas muncul di sini tetapi tidak di klien, perbedaannya ada pada penyimpanan atau cakupan klien.

Di mana kunci privat berada, dan siapa yang boleh memakainya

Saat Anda mengimpor identitas melalui Keychain Access, dialog impor menawarkan keychain tujuan. Tujuan mana yang benar bergantung pada klien dan pada apakah profilnya bercakupan pengguna atau perangkat. Jawaban lama yang menyarankan keychain sistem bukan aturan universal, dan menyalin item antar penyimpanan bukan perbaikan.

System Roots adalah kumpulan kepercayaan. Menaruh sertifikat di sana mengubah penerbit mana yang dipercaya sistem; itu tidak membuat kunci privat, dan itu bukan penyimpanan identitas. Memindahkan sertifikat yang tidak terkait untuk mengisi pemilih adalah jenis perbaikan yang meninggalkan mesin dengan kumpulan kepercayaan yang diperluas secara permanen.

Akses ke kunci privat adalah kontrol terpisah. Memberi setiap aplikasi izin memakai kunci menyelesaikan masalah pemilihan satu klien dan menyerahkan kemampuan yang sama kepada semua hal lain di mesin. Berikan kepada klien yang membutuhkannya, dan periksa apakah kunci didukung perangkat keras atau ditandai tidak dapat diekspor; jika ya, penyedia yang didukung harus dipakai, bukan salinan yang diekspor.

Bagaimana profil menunjuk ke kredensial

Dalam konfigurasi IKEv2 asli yang dikelola, profil merujuk muatan kredensialnya melalui PayloadCertificateUUID. Identitas yang dirujuk dan cara penyediaannya adalah yang penting; menyunting nama tampilan di profil tidak memperbaiki rujukan yang menunjuk ke muatan yang salah atau ke muatan yang tidak pernah menyerahkan kunci.

Penyedia pihak ketiga dapat memakai mekanisme pemilihan yang sama sekali berbeda, seperti penyimpanannya sendiri atau perintah sistem. Bacalah dokumentasi penyedia itu alih-alih memindahkan asumsi profil asli, dan verifikasi rujukan pada profil yang benar-benar terpasang, bukan pada draf di konsol manajemen.

Pemilihan dan penerimaan adalah tonggak yang terpisah

Pemilih yang terisi berarti klien dapat menemukan dan memakai identitas. Itu tidak mengatakan apa pun tentang apakah gateway akan menerimanya. Server tetap memeriksa penerbit, jendela validitas, status pencabutan, dan pemetaan kredensial itu ke akun.

Uji kedua tahap secara eksplisit, dalam urutan itu. Pastikan identitas ditawarkan, sambungkan, lalu minta pemilik gateway mengonfirmasi kredensial mana yang disajikan dan aturan pemetaan mana yang memakainya. Jika klien menawarkan identitas dan server menolaknya, sisa pekerjaan ada di sisi server. Memasang ulang sertifikat di Mac tidak akan mengubah hasil itu, berapa kali pun diulang.