Mac-ის VPN სერტიფიკატი: რომელ ანგარიშს ხედავს კარიბჭე?
პროფილის იარლიყი, მოწმობა და ანგარიშის ველი სხვადასხვა კითხვას პასუხობენ. სანამ რამეს გადაარქმევთ, მიჰყევით ძირითად სუბიექტს კარიბჭის ასახვამდე.
პროფილი თქვენს სახელს აჩვენებს, სერტიფიკატის ხილული იარლიყი სხვა რამეს ამბობს, ხოლო კარიბჭის ჟურნალი მესამე იდენტიფიკატორს ჩაწერს. არც ერთი მათგანი არ იტყუება და სწორედ ეს არის პრობლემა: სამი სხვადასხვა ველი ისე იკითხება, თითქოს ერთ კითხვას პასუხობდნენ. კავშირი წარმოადგენს მოწმობას, IKEv2 იდენტიფიკატორსა და ანგარიშს, და კარიბჭე წყვეტს, რომელი მათგანი რას აძლევს ნებას.
სამი იდენტობა ერთ კავშირში
ხილული პროფილის სახელი ადამიანებისთვის განკუთვნილი იარლიყია. ის ირჩევს კავშირს და მეტს არაფერს. სერტიფიკატი მოწმობაა, და შეუძლია თუ არა მას რამის დამტკიცება, დამოკიდებულია იმაზე, აქვს თუ არა კლიენტს შესაბამისი პირადი გასაღები. ანგარიშის ველი ძირითადი სუბიექტის შესახებ მტკიცებაა, და სერვერს თავისუფლად შეუძლია ის სხვა ლოკალურ იდენტობაზე აასახოს.
როცა ავთენტიფიკაცია ვერ ხერხდება, იკითხეთ სამიდან რომელს ეხება შეცდომა. უარყოფილი მოწმობა, უცნობი იდენტიფიკატორი და გამორთული ანგარიში სხვადასხვა შეტყობინებას წარმოქმნის, და მათი ერთ „სერტიფიკატის პრობლემად“ მიჩნევა არასწორ კონსოლში მიგიყვანთ.
წაიკითხეთ მშობლიური ველები მათი დანიშნულების მიხედვით
მართულ მშობლიურ IKEv2 კონფიგურაციაში Apple-ის დატვირთვის მითითება ყოფს მნიშვნელობებს, და ავთენტიფიკაციის მეთოდი განსაზღვრავს, რომელი კომბინაციაა საჭირო:
| Field | Identifies | Common misreading |
|---|---|---|
| AuthName | Username for the configured arrangement | Assuming it is the certificate subject |
| LocalIdentifier | IKEv2 client identifier | Assuming it must equal the username |
| PayloadCertificateUUID | Referenced credential payload | Assuming any installed certificate will do |
სერტიფიკატსა და EAP შესვლას ერთსა და იმავე კავშირში განსხვავებული როლები შეიძლება ჰქონდეს. ნუ აიძულებთ ყველა ველს ერთი და იგივე ტექსტი შეინარჩუნოს მხოლოდ იმიტომ, რომ ერთი მათგანი ასე იქცევა, და ნუ ჩათვლით, რომ ერთის შეცვლა სხვებს აუქმებს. მესამე მხარის VPN აპლიკაცია შეიძლება სრულიად განსხვავებულ მოდელს გვაჩვენებდეს; გამოიყენეთ მისი დოკუმენტირებული იდენტობის არჩევანი მშობლიური ველების სახელების იქ გადატანის ნაცვლად.
სერვერის სერტიფიკატი კლიენტის იდენტობა არ არის
სერტიფიკატი, რომელიც კარიბჭეს ამოწმებს, ნდობის საყრდენია. ის ამტკიცებს, რომ მიაღწიეთ მოსალოდნელ სერვერს. კლიენტის იდენტობა სხვა ობიექტია: ის მოიცავს პირად გასაღებზე წვდომას, რომელიც ამტკიცებს, რომ მიერთებული მხარე არის ის, ვინც თავს ასე წარმოადგენს. ხილული ანგარიშის გადარქმევა ვერ გადააქცევს ერთს მეორედ.
აქ ხდება ის, რომ კეთილგანწყობილი შესწორება ცდება. კარიბჭის CA სერტიფიკატის კლიენტის საცავში იმპორტი არაფერს აკეთებს კლიენტის ავთენტიფიკაციისთვის, და ამ ჩანაწერის მომხმარებლის სახელით მონიშვნა მას მომხმარებლის იდენტობად არ აქცევს. ორი ობიექტი პროფილის სხვადასხვა ნაწილში ცხოვრობს და სხვადასხვა კითხვას პასუხობს.
მიჰყევით ძირითად სუბიექტს კარიბჭის ასახვამდე
დაადასტურეთ, რისთვის გაიცა მოწმობა: ამ მომხმარებლისთვის, ამ მოწყობილობისთვის თუ საერთო როლისთვის. Mac-ის შესვლის ანგარიში ავტომატურად ის ძირითადი სუბიექტი არ არის, და სხვა მანქანიდან კოპირებული სერტიფიკატი ინარჩუნებს იმ მანქანის იდენტობას, რომლისთვისაც გაიცა.
შემდეგ შეადარეთ ფაქტობრივი მოწმობა და არა იარლიყი. გამომცემელი, სერიული ნომერი და თითის ანაბეჭდი გაძლევთ და ადმინისტრატორს საშუალებას დაადასტუროთ, რომ ერთ ობიექტზე საუბრობთ. ნაჩვენები სახელები რედაქტირებადია და ხშირად მეორდება, რაც მათ ინციდენტის დროს ყველაზე ცუდ იდენტიფიკატორად აქცევს.
ბოლო ნაბიჯი კარიბჭეზეა. სთხოვეთ მის მფლობელს, დააკავშიროს ერთი კავშირი წარმოდგენილ იდენტიფიკატორებთან და იმ ანგარიშის ასახვის წესთან, რომელმაც ისინი მოიხმარა. კლიენტის მხარეს იარლიყი ვერ დაადგენს, რა გადაწყვიტა სერვერმა, და წესი, რომელიც სერტიფიკატს გამორთულ ანგარიშზე აასახავს, ჩავარდება მაშინ, როცა კლიენტის ყველა ველი სწორად გამოიყურება.
შეაკეთეთ ის ფენა, რომელსაც ეკუთვნის ეს შეუსაბამობა
თუ პროფილი არასწორ მოწმობაზე მიუთითებს, შეასწორეთ მისი მითითება ან არჩევანი. თუ მოწმობა სხვა ძირითად სუბიექტს ეკუთვნის, გაიარეთ გამომცემლის ხელახალი რეგისტრაცია და ნუ შეცვლით იარლიყებს. თუ კარიბჭე სწორ მოწმობას არასწორ ანგარიშს უკავშირებს, მისი პოლიტიკის მფლობელმა უნდა გამოასწოროს ასახვა. ეს სამი განსხვავებული ცვლილებაა სამი განსხვავებული დამამტკიცებლით.
განახლება იმავე ზრუნვას იმსახურებს. სერტიფიკატის შეცვლა, მისი ხილული იარლიყის გადარქმევა და ადამიანის ანგარიშების სისტემებს შორის გადაადგილება სულაც არ მოქმედებს ასახვაზე ერთნაირად. ჩაწერეთ, სამიდან რომელი შეცვალეთ, რადგან შემდეგი ჩავარდნა კლიენტის მხრიდან იდენტურად გამოჩნდება, კარიბჭის ჟურნალში კი განსხვავებულად.
გააზიარეთ მხოლოდ ის მინიმალური საჯარო იდენტიფიკატორები, რომლებიც მხარდაჭერას სჭირდება. პირადი გასაღები ან სრული იდენტობის პაკეტი არასოდეს არის ამ გაცვლის ნაწილი, რამდენადაც არ უნდა გაამარტივოს დიაგნოსტიკა.