Mac IKEv2 ECDSA: hvaða tegund skírteinis tilheyrir biðlaranum?
Á Mac lýsir ECDSA256 í IKEv2 stillingum staðbundnu auðkennisskírteini, ekki gáttinni eða undirskrift útgefanda. Lestu hvert hlutverk áður en þú velur.
Á macOS svarar ECDSA-valinu í IKEv2 biðlarastillingu þröngri spurningu: hvaða skírteini sannar auðkenni Macsins. Það lýsir hvorki skírteini gáttarinnar, undirskriftinni sem gaf út biðlaraskírteinið, né dulkóðunartillögunni fyrir göngin. Að meðhöndla þessi fjögur hlutverk sem eina samhæfnisspurningu er leiðin sem veldur því að rétt staðbundin stilling er kennd um misræmi á þjónshliðinni. Ákvörðunin er lítil, en sönnunargögnin sem notuð eru til að taka hana verða að vera nákvæm.
Reiturinn nefnir eitt skírteini: staðbundið auðkenni
Network Extension API Apple býður upp á skírteinistegund fyrir skilríki biðlarans, þar á meðal NEVPNIKEv2CertificateType.ECDSA256, skjalfesta sem skírteinistegundina ECDSA p-256. Eiginleikinn á við skírteinið sem er afhent í gegnum identityReference eða identityData.
Það þýðir að ákvörðunin snýst um skírteinið sem Macinn leggur fram, ásamt einkalyklinum sem fylgir því. Veldu tegundina sem passar við dreifilykil blaðskírteinisins og afhentu auðkennið með studdu ferlinu. Ef Macinn hefur ekki nothæfan einkalykil fyrir auðkennið getur tegundarvalið ekki bjargað tengingunni.
Stýrðar prófílar taka sömu ákvörðun í gegnum CertificateType IKEv2 farmsins, ásamt tilvísun í skírteini á borð við PayloadCertificateUUID. Þessir reitir hafa forsendur og skema fyrir útgáfu stýrikerfisins sem er í skotinu; bert tegundargildi sem er afritað í prófíl er ekki uppsetningarhæft, og stilligluggi kann að sýna ekki alla möguleika API. Athugaðu forsendur farmsins fyrir þá útgáfu áður en dreift er.
Ákveddu eftir hlutverki, ekki eftir merki skírteinisins
Lestu reitinn sem þú ert að fara að breyta og spurðu hvaða skírteini hann bendir á. Merkin í skírteinisskoðara blanda saman viðfangsefninu, útgefandanum og undirskriftaralgríminu, og aðeins eitt þeirra tilheyrir vali á auðkenni biðlarans.
| What you inspected | What it controls | Does it choose the Mac certificate type? |
|---|---|---|
| Client leaf public key | The identity the Mac presents | Yes, this is the field's subject |
| Issuer signature algorithm | How the client certificate was signed | No |
| Gateway certificate | What the Mac validates as the peer | No, check it separately |
| IKE and ESP proposals | Algorithms for the tunnel | No, separate proposal settings |
Ef skírteinisskoðarinn sýnir ECDSA-undirskrift frá CA lýsir það undirskriftarlykli útgefandans. Lykill biðlarans sjálfs getur enn verið RSA, og tegundarreiturinn á að fylgja lykli biðlarans fremur en undirskriftarlínunni. Þessi eina ruglingur skýrir mörg tilkynningar um "ECDSA er stillt en tengingin mistekst". Berðu saman lykiltegundina í blaðinu og tegundina sem valin var í prófílnum áður en þú breytir einhverju.
Ákvörðunin verður einfaldari þegar blaðið er auðkennt: ECDSA256 fyrir p-256 biðlaralykil, önnur studd tegund fyrir annan lykil. Ef biðlaraskírteinið og lykillinn passa ekki saman skaltu laga það par áður en þú breytir VPN prófílnum.
Skírteini gáttarinnar er sérstök ákvörðun
Gáttin leggur fram eigið skírteini og Macinn staðfestir það gagnvart traustsakkeri og væntu nafni. Hvort það skírteini notar ECDSA, RSA eða aðra lykiltegund er eiginleiki þjónsins, ekki stillingar auðkennis biðlarans.
Staðbundinn stuðningur við ECDSA biðlaraskírteini sannar ekki að hvert gáttarskírteini, hver ferill eða þjónsauðkenningarstilling muni vinna saman. Athugaðu auðkenni þjónsins, keðju þess og IKE auðkenningaraðferð sem aðskilin inntak og prófaðu með þeim prófíl sem verður í raun dreift.
Ef skírteini gáttarinnar er vandamálið, kemur einkennið yfirleitt fram við staðfestingu jafningja en ekki við auðkennisvalið. Lestu mistökunarstigið áður en þú breytir tegund biðlarans, því traustmistök og misræmi í biðlaralykli deila ekki sömu úrbót.
Undirskrift útgefanda og lyklasamþykktarhópurinn eru ekki tegund biðlarans
X.509 heldur dreifilykli viðfangsefnisins og undirskrift útgefandans í aðskildum reitum. Upplýsingar um dreifilykil viðfangsefnisins lýsa lyklinum í skírteininu; undirskriftaralgrímið lýsir lykli CA og undirskriftaraðgerðinni. Aðeins hið fyrra passar við stillingu skírteinistegundar.
IKE og Child SA tillögur eru annar ás. ECDSA skírteinistegund er ekki ESP dulkóðunarval og breyting á lyklasamþykktarhópnum velur ekki skírteinistegund. Prófíll getur haft gildar tillögur og ranga auðkenningstegund, eða rétta auðkenningstegund og tillögu sem jafninginn hafnar.
Haltu þremur línum aðskildum í breytingaskránni: auðkennisskírteini og lykill, traustinntak gáttarinnar og algritmar tillagnanna. Að sameina þau í eina athugasemd um "dulkóðunarstillingar" gerir næstu mistök órekjanleg.
Staðfestu ákvörðunina með reitunum sem þú stilltir
Athugaðu auðkennið sem prófíllinn vísar í raun til, staðfestu síðan að skírteinið við þá tilvísun hafi væntan dreifilykil og nothæfan einkalykil. Tegundin sem birtist í viðmótinu, skírteinið sem vísað er til og lykillinn í tækinu verða að stemma.
Staðfestu næst inntak gáttarinnar: vænta þjónsheiti, traustsakkerið og IKE auðkenningaraðferðina. Tengstu að lokum og lestu hvar handabandið stöðvast. Mistök fyrir auðkennisskipti benda burt frá þessari stillingu; mistök við staðfestingu jafningja benda á gáttarhliðina.
Skráðu valda tegund, auðkennistilvísunina og viðfangsefni gáttarskírteinisins í dreifingarathugasemdirnar. Næsta prófíluuppfærsla getur breytt hverju þeirra, og þrjú nefnd gildi eru fljótlegri að bera saman en skjáskot af stilliglugga.