Certificato VPN del Mac: quale account vede il gateway?

Il profilo mostra il tuo nome, l’etichetta visibile del certificato dice qualcos’altro e il registro del gateway annota un terzo identificatore. Nessuno dei tre mente, ed è proprio questo il problema: tre campi diversi vengono letti come se rispondessero a una sola domanda. La connessione presenta una credenziale, un identificatore IKEv2 e un account, e il gateway decide quale di essi autorizza cosa.

Tre identità in un’unica connessione

Il nome visibile del profilo è un’etichetta per le persone. Seleziona una connessione e nient’altro. Il certificato è una credenziale, e se possa dimostrare qualcosa dipende dal fatto che il client possieda la chiave privata corrispondente. Il campo account è un’affermazione su un principal, e il server è libero di mapparlo su un’identità locale diversa.

Quando l’autenticazione fallisce, chiedi a quale dei tre si riferisce l’errore. Una credenziale rifiutata, un identificatore sconosciuto e un account disattivato producono messaggi diversi, e trattarli come un unico «problema di certificato» ti porta alla console sbagliata.

Leggi i campi nativi secondo il loro compito

In una configurazione IKEv2 nativa gestita, il riferimento del payload di Apple separa i valori, e il metodo di autenticazione decide quale combinazione è necessaria:

Un certificato e un accesso EAP possono avere ruoli distinti nella stessa connessione. Non forzare ogni campo a contenere lo stesso testo solo perché uno di essi lo fa, e non presumere che modificare uno annulli gli altri. Un’app VPN di terze parti può esporre un modello del tutto diverso; usa la sua selezione di identità documentata invece di trasportarvi i nomi dei campi nativi.

Un certificato server non è un’identità client

Il certificato che convalida il gateway è un’ancora di fiducia. Dimostra che hai raggiunto il server atteso. Un’identità client è un oggetto diverso: include l’accesso alla chiave privata che dimostra che la parte che si connette è chi dichiara di essere. Rinominare un account visibile non può trasformare l’una nell’altra.

È qui che una correzione ben intenzionata va storta. Importare il certificato CA del gateway nell’archivio del client non fa nulla per l’autenticazione del client, ed etichettare quella voce con il nome dell’utente non la rende un’identità utente. I due oggetti vivono in parti diverse del profilo e rispondono a domande diverse.

Segui il principal fino alla mappatura del gateway

Verifica a cosa è stata rilasciata la credenziale: a questo utente, a questo dispositivo o a un ruolo condiviso. L’account di accesso del Mac non è automaticamente quel principal, e un certificato copiato da un’altra macchina conserva l’identità della macchina per cui è stato rilasciato.

Poi confronta la credenziale reale, non l’etichetta. Emittente, numero di serie e impronta consentono a te e all’amministratore di confermare che state parlando dello stesso oggetto. I nomi visualizzati sono modificabili e spesso duplicati, il che li rende il peggiore identificatore possibile durante un incidente.

L’ultimo passo è sul gateway. Chiedi al suo proprietario di correlare una connessione con gli identificatori presentati e con la regola di mappatura degli account che li ha consumati. Un’etichetta lato client non può stabilire cosa ha deciso il server, e una regola che mappa un certificato su un account disattivato fallirà mentre tutti i campi lato client sembrano corretti.

Ripara il livello che possiede la discrepanza

Se il profilo punta alla credenziale sbagliata, correggi il riferimento o la selezione. Se la credenziale appartiene a un altro principal, passa dalla reiscrizione presso l’emittente invece di modificare le etichette. Se il gateway collega una credenziale valida all’account sbagliato, il proprietario della policy deve correggere la mappatura. Sono tre modifiche diverse con tre approvatori diversi.

Il rinnovo merita la stessa cura. Sostituire il certificato, rinominarne l’etichetta visibile e spostare una persona tra sistemi di account non influenzano necessariamente la mappatura allo stesso modo. Annota quale dei tre hai cambiato, perché il prossimo guasto sembrerà identico dal client e diverso nel registro del gateway.

Condividi solo gli identificatori pubblici minimi di cui il supporto ha bisogno. Una chiave privata o un pacchetto di identità completo non fa mai parte di quello scambio, per quanto comodo renderebbe la diagnosi.