VPN-vottorð á Mac: hvers vegna auðkennivalinn er tómur

Þú settir vottorðið upp, það birtist í Keychain Access með vingjarnlegu nafni, og auðkennivalinn í VPN-biðlaranum er enn tómur. Biðlarinn er ekki að leita að vottorði. Hann er að leita að auðkenni: vottorði ásamt einkalyklinum sem getur sannað eignarhald, geymt þar sem biðlaranum er heimilt að lesa það.

Það sem biðlarinn biður um er auðkenni

Öryggisrammi Apple meðhöndlar vottorð og auðkenni sem ólíka hluti. Vottorð eru opinber gögn. Auðkenni er það vottorð auk einkalykils þess, og aðeins auðkennið getur klárað áskorun. Traust vottorð frá CA gerir biðlara kleift að meta útgefanda; það gerir vélina ekki að handhafa útgefins skírteinis biðlarans.

Þess vegna framleiðir innflutningur á .cer skrá aldrei nothæft auðkenni biðlara. Skráin ber aðeins opinbert efni, og ekkert endurnefning né traust gerir hana að lyklapari.

Þrjár ástæður fyrir því að valinn er tómur

Fyrsta er vantar einkalykil, sem þýðir að skráningar- eða innflutningsferlið skilaði engum. Önnur er geymsla sem biðlarinn skoðar ekki: notandasnið leitar í lyklakippu notandans, og atriði sem sett er í kerfisgeymslu getur verið ósýnilegt honum. Þriðja er misræmi í tilgangi eða stefnu, þar sem vottorðið er til en er ekki gilt fyrir auðkenningu biðlara samkvæmt reglum uppsetningarinnar.

security find-identity -v -p ssl-client

Þetta listar þau auðkenni sem kerfið telur gild fyrir auðkenningu biðlara. Ef fjöldinn er núll er vandamálið ofar VPN-biðlaranum og engin sniðbreyting lagar það. Ef auðkennið birtist hér en ekki í biðlaranum er munurinn í geymslu eða umfangi biðlarans.

Hvar einkalykillinn býr og hver má nota hann

Þegar þú flytur inn auðkenni í gegnum Keychain Access býður innflutningsglugginn upp á áfangalyklakippu. Hvaða áfangastaður er réttur fer eftir biðlaranum og hvort sniðið er í notanda- eða tækjaumfangi. Gamalt svar sem mælir með kerfislyklakippunni er ekki algild regla, og afritun atriða milli geymslna er ekki viðgerð.

System Roots er traustsafn. Að setja vottorð þar breytir því hvaða útgefendur kerfið treystir; það býr ekki til einkalykil og er ekki auðkennageymsla. Að flytja ótengd vottorð til að fylla val er sú tegund viðgerðar sem skilur vél eftir með varanlega víkkað traustasafn.

Aðgangur að einkalyklinum er sérstök stjórn. Að veita hverju forriti leyfi til að nota lykilinn leysir valvandamál eins biðlara og veitir sömu getu öllu öðru á vélinni. Veittu það biðlaranum sem þarf á því að halda, og athugaðu hvort lykillinn er vélbúnaðarstuddur eða merktur óútflutningshæfur; ef svo er verður að nota studda veituna í stað útflutts afrits.

Hvernig sniðið vísar á skírteinið

Í stýrðri innbyggðri IKEv2-stillingu vísar sniðið á skírteinisbyrði sína í gegnum PayloadCertificateUUID. Auðkennið sem vísað er á og hvernig það var útvegað skipta máli; að breyta birtu nafni í sniðinu lagar ekki tilvísun sem bendir á rangt byrði eða byrði sem skilaði aldrei lykli.

Þriðja aðila veita getur notað algjörlega aðra valaðferð, svo sem eigin geymslu eða kerfisbeiðni. Lestu skjöl þeirrar veitu í stað þess að flytja forsendur innbyggðra sniða, og staðfestu tilvísunina í sniðinu sem er í raun uppsett, ekki í drögum stjórnborðsins.

Val og samþykki eru aðskilin tímamót

Fylltur valur þýðir að biðlarinn getur fundið og notað auðkenni. Það segir ekkert um hvort hliðið samþykki það. Þjónninn athugar enn útgefandann, gildistímabilið, stöðu afturköllunar og vörpun þess skírteinis á reikning.

Prófaðu bæði stigin skýrt, í þeirri röð. Staðfestu að auðkennið sé boðið, tengstu og biddu þá eiganda hliðsins að staðfesta hvaða skírteini var kynnt og hvaða vörpun regla neytti þess. Ef biðlarinn býður auðkenni og þjónninn hafnar því er eftirvinnan á þjónshliðinni. Að setja vottorðið upp aftur á Mac mun ekki breyta þeirri niðurstöðu, hversu oft sem það er endurtekið.