Mac IKEv2 ECDSA: რომელი სერტიფიკატის ტიპი ეკუთვნის კლიენტს?
Mac-ზე IKEv2-ის პარამეტრებში ECDSA256 აღწერს ლოკალური იდენტობის სერტიფიკატს და არა კარიბჭეს ან გამომცემლის ხელმოწერას. არჩევამდე წაიკითხეთ ყოველი როლი.
macOS-ზე ECDSA-ის არჩევა IKEv2 კლიენტის პარამეტრში პასუხობს ვიწრო კითხვას: რომელი სერტიფიკატი ადასტურებს Mac-ის იდენტობას. ის არ აღწერს კარიბჭის სერტიფიკატს, კლიენტის სერტიფიკატის გამომცემ ხელმოწერას ან გვირაბის შიფრაციის შეთავაზებას. ამ ოთხი როლის ერთ თავსებადობის კითხვად მიჩნევა იწვევს იმას, რომ სწორ ლოკალურ პარამეტრს სერვერის მხარეს არსებული შეუსაბამობა ბრალად დაედება. გადაწყვეტილება მცირეა, მაგრამ მის მისაღებად გამოყენებული მტკიცებულებები ზუსტი უნდა იყოს.
ველი ასახელებს ერთ სერტიფიკატს: ლოკალურ იდენტობას
Apple-ის Network Extension API ავლენს სერტიფიკატის ტიპს კლიენტის სანდო მონაცემებისთვის, მათ შორის NEVPNIKEv2CertificateType.ECDSA256, რომელიც დოკუმენტირებულია როგორც ECDSA p-256 სერტიფიკატის ტიპი. თვისება ვრცელდება identityReference-ის ან identityData-ის მეშვეობით მოწოდებულ სერტიფიკატზე.
ეს ნიშნავს, რომ გადაწყვეტილება ეხება Mac-ის მიერ წარმოდგენილ სერტიფიკატს და მასთან დაკავშირებულ პირად გასაღებს. აირჩიეთ ტიპი, რომელიც შეესაბამება იმ ფოთლოვანი სერტიფიკატის საჯარო გასაღებს, და წარმოადგინეთ იდენტობა მხარდაჭერილი მექანიზმით. თუ Mac-ს იდენტობისთვის გამოსადეგი პირადი გასაღები არ აქვს, ტიპის არჩევა კავშირს ვერ იხსნის.
მართული პროფილები იმავე გადაწყვეტილებას იღებენ IKEv2 დატვირთვის CertificateType-ის მეშვეობით, სერტიფიკატის მითითებასთან ერთად, მაგალითად PayloadCertificateUUID. ამ ველებს აქვს წინაპირობები და სქემა სამიზნე ოპერაციული სისტემის ვერსიისთვის; პროფილში კოპირებული შიშველი ტიპის მნიშვნელობა არ დგინდება, და პარამეტრების ფანჯარამ შეიძლება ვერ აჩვენოს API-ის ყველა ვარიანტი. განლაგებამდე შეამოწმეთ დატვირთვის წინაპირობები იმ ვერსიისთვის.
გადაწყვიტეთ როლით და არა სერტიფიკატის იარლიყით
წაიკითხეთ ველი, რომლის შეცვლასაც აპირებთ, და იკითხეთ რომელ სერტიფიკატზე მიუთითებს ის. სერტიფიკატების დამთვალიერებელში იარლიყები ურევს სუბიექტს, გამომცემელს და ხელმოწერის ალგორითმს, და მათგან მხოლოდ ერთი ეხება კლიენტის იდენტობის არჩევანს.
| What you inspected | What it controls | Does it choose the Mac certificate type? |
|---|---|---|
| Client leaf public key | The identity the Mac presents | Yes, this is the field's subject |
| Issuer signature algorithm | How the client certificate was signed | No |
| Gateway certificate | What the Mac validates as the peer | No, check it separately |
| IKE and ESP proposals | Algorithms for the tunnel | No, separate proposal settings |
თუ სერტიფიკატების დამთვალიერებელი აჩვენებს CA-ის ECDSA ხელმოწერას, ეს აღწერს გამომცემლის ხელმოწერის გასაღებს. კლიენტის საკუთარი გასაღები შეიძლება ჯერ კიდევ RSA იყოს, და ტიპის ველი უნდა მიჰყვეს კლიენტის გასაღებს და არა ხელმოწერის ხაზს. ეს ერთი დაბნევა ხსნის ბევრ ცნობას „ECDSA კონფიგურირებულია, მაგრამ კავშირი ვარდებაო“. სანამ რამეს შეცვლით, შეადარეთ ფოთლის გასაღების ტიპი პროფილში არჩეულ ტიპს.
გადაწყვეტილება მარტივდება, როცა ფოთოლი იდენტიფიცირებულია: ECDSA256 p-256 კლიენტის გასაღებისთვის, სხვა მხარდაჭერილი ტიპი განსხვავებული გასაღებისთვის. თუ კლიენტის სერტიფიკატი და მისი გასაღები არ ემთხვევა, გაასწორეთ ეს წყვილი VPN პროფილის შეცვლამდე.
კარიბჭის სერტიფიკატი ცალკე გადაწყვეტილებაა
კარიბჭე წარმოადგენს საკუთარ სერტიფიკატს და Mac ამოწმებს მას ნდობის ღუზასა და მოსალოდნელ სახელთან. იყენებს ის სერტიფიკატი ECDSA-ს, RSA-ს თუ სხვა გასაღების ტიპს, ეს სერვერის თვისებაა და არა კლიენტის იდენტობის პარამეტრის.
ECDSA კლიენტის სერტიფიკატის ლოკალური მხარდაჭერა არ ამტკიცებს, რომ ყოველი კარიბჭის სერტიფიკატი, მრუდი ან სერვერის აუთენტიფიკაციის კონფიგურაცია ითანამშრომლებს. შეამოწმეთ სერვერის იდენტობა, მისი ჯაჭვი და IKE აუთენტიფიკაციის მეთოდი ცალკე შეყვანებად და გამოსცადეთ იმ პროფილით, რომელიც რეალურად განლაგდება.
თუ კარიბჭის სერტიფიკატია პრობლემა, სიმპტომი ჩვეულებრივ ჩნდება პარტნიორის ვალიდაციისას და არა იდენტობის არჩევისას. წაიკითხეთ წარუმატებლობის ეტაპი კლიენტის ტიპის შეცვლამდე, რადგან ნდობის წარუმატებლობას და კლიენტის გასაღების შეუსაბამობას ერთი გამოსავალი არ აქვთ.
გამომცემლის ხელმოწერა და გასაღების შეთანხმების ჯგუფი კლიენტის ტიპი არ არის
X.509 სუბიექტის საჯარო გასაღებს და გამომცემლის ხელმოწერას სხვადასხვა ველში ინახავს. სუბიექტის საჯარო გასაღების ინფორმაცია აღწერს სერტიფიკატში არსებულ გასაღებს; ხელმოწერის ალგორითმი აღწერს CA-ის გასაღებს და ხელმოწერის ოპერაციას. მხოლოდ პირველი შეესაბამება სერტიფიკატის ტიპის პარამეტრს.
IKE და Child SA შეთავაზებები სხვა ღერძია. ECDSA სერტიფიკატის ტიპი ESP შიფრაციის არჩევანი არ არის და გასაღების შეთანხმების ჯგუფის შეცვლა სერტიფიკატის ტიპს არ ირჩევს. პროფილს შეიძლება ჰქონდეს სწორი შეთავაზებები და არასწორი იდენტობის ტიპი, ან სწორი იდენტობის ტიპი და შეთავაზება, რომელსაც პარტნიორი უარყოფს.
ცვლილებების ჟურნალში სამი ხაზი ცალ-ცალკე შეინახეთ: იდენტობის სერტიფიკატი და გასაღები, კარიბჭის ნდობის შეყვანები და შეთავაზებების ალგორითმები. მათი ერთ „კრიპტო პარამეტრების“ ჩანაწერში გაერთიანება შემდეგ წარუმატებლობას აუხსნელს ხდის.
შეამოწმეთ გადაწყვეტილება იმ ველებით, რომლებიც დააკონფიგურირეთ
შეამოწმეთ იდენტობა, რომელზეც პროფილი რეალურად მიუთითებს, შემდეგ დაადასტურეთ, რომ ამ მითითების სერტიფიკატს აქვს მოსალოდნელი საჯარო გასაღები და გამოსადეგი პირადი გასაღები. ინტერფეისში ნაჩვენები ტიპი, მითითებული სერტიფიკატი და მოწყობილობაზე არსებული გასაღები უნდა ემთხვეოდეს.
შემდეგ დაადასტურეთ კარიბჭის შეყვანები: მოსალოდნელი სერვერის სახელი, ნდობის ღუზა და IKE აუთენტიფიკაციის მეთოდი. ბოლოს დაუკავშირდით და წაიკითხეთ, სად ჩერდება ხელის ჩამორთმევა. იდენტობის გაცვლამდე წარუმატებლობა ამ პარამეტრს აშორებს; პარტნიორის ვალიდაციისას წარუმატებლობა კარიბჭის მხარეს მიუთითებს.
ჩაწერეთ არჩეული ტიპი, იდენტობის მითითება და კარიბჭის სერტიფიკატის სუბიექტი განლაგების ჩანაწერებში. შემდეგი პროფილის განახლებამ შეიძლება შეცვალოს რომელიმე მათგანი, და სამი დასახელებული მნიშვნელობის შედარება უფრო სწრაფია, ვიდრე პარამეტრების პანელის ეკრანის სურათი.