Mac IKEv2 ECDSA: қай сертификат түрі клиентке жатады?
Mac-те IKEv2 параметрлеріндегі ECDSA256 жергілікті сәйкестендіру сертификатын сипаттайды, шлюзді немесе шығарушының қолтаңбасын емес. Таңдамас бұрын әр рөлді оқыңыз.
macOS-те IKEv2 клиент параметріндегі ECDSA таңдауы тар сұраққа жауап береді: қай сертификат Mac сәйкестігін дәлелдейді. Ол шлюз сертификатын, клиент сертификатын шығарған қолтаңбаны немесе туннельдің шифрлау ұсынысын сипаттамайды. Осы төрт рөлді бір үйлесімділік сұрағы ретінде қарау дұрыс жергілікті параметрді сервер жағындағы сәйкессіздікке кінәлі етеді. Шешім шағын, бірақ оны қабылдауға пайдаланылатын дәлелдер нақты болуы керек.
Өріс бір сертификатты атайды: жергілікті сәйкестендіру
Apple-дың Network Extension API клиент тіркелгі деректері үшін сертификат түрін ұсынады, оның ішінде NEVPNIKEv2CertificateType.ECDSA256, ECDSA p-256 сертификат түрі ретінде құжатталған. Қасиет identityReference немесе identityData арқылы берілетін сертификатқа қолданылады.
Бұл шешім Mac ұсынатын сертификатқа және онымен бірге жүретін жеке кілтке қатысты деген сөз. Сол жапырақ сертификаттың ашық кілтіне сәйкес келетін түрді таңдап, сәйкестікті қолдау көрсетілген механизм арқылы беріңіз. Егер Mac-те сәйкестік үшін жарамды жеке кілт болмаса, түр таңдауы қосылымды құтқара алмайды.
Басқарылатын профильдер сол шешімді IKEv2 жүктемесінің CertificateType арқылы қабылдайды, оған PayloadCertificateUUID сияқты сертификат сілтемесі қосылады. Бұл өрістердің мақсатты ОЖ шығарылымы үшін алғышарттары мен схемасы бар; профильге көшірілген жалаң түр мәні орнатылмайды, ал параметрлер терезесі API-дің әр опциясын көрсетпеуі мүмкін. Орналастыру алдында сол шығарылым үшін жүктеменің алғышарттарын тексеріңіз.
Сертификат белгісіне емес, рөлге қарап шешіңіз
Өзгертуге дайындалып отырған өрісті оқып, оның қай сертификатқа нұсқайтынын сұраңыз. Сертификат қараушыдағы белгілер субъектіні, шығарушыны және қолтаңба алгоритмін араластырады, ал олардың тек біреуі клиент сәйкестігін таңдауға жатады.
| What you inspected | What it controls | Does it choose the Mac certificate type? |
|---|---|---|
| Client leaf public key | The identity the Mac presents | Yes, this is the field's subject |
| Issuer signature algorithm | How the client certificate was signed | No |
| Gateway certificate | What the Mac validates as the peer | No, check it separately |
| IKE and ESP proposals | Algorithms for the tunnel | No, separate proposal settings |
Егер сертификат қараушы CA-дан ECDSA қолтаңбасын көрсетсе, бұл шығарушының қол қою кілтін сипаттайды. Клиенттің өз кілті әлі де RSA болуы мүмкін, ал түр өрісі қолтаңба жолына емес, клиент кілтіне сүйенуі керек. Осы бір шатасу "ECDSA конфигурацияланған, бірақ қосылым сәтсіз" деген көптеген хабарламаны түсіндіреді. Бірдеңе өзгерту алдында жапырақтағы кілт түрін профильде таңдалған түрмен салыстырыңыз.
Жапырақ анықталған соң шешім қарапайымдайды: p-256 клиент кілті үшін ECDSA256, басқа кілт үшін басқа қолдау көрсетілген түр. Егер клиент сертификаты мен оның кілті сәйкес келмесе, VPN профилін өзгерту алдында сол жұпты түзетіңіз.
Шлюз сертификаты — жеке шешім
Шлюз өз сертификатын ұсынады, ал Mac оны сенім тірегі мен күтілетін атауға қарсы тексереді. Бұл сертификаттың ECDSA, RSA немесе басқа кілт түрін пайдалануы сервердің қасиеті, клиент сәйкестігі параметрінің емес.
ECDSA клиент сертификатына жергілікті қолдау кез келген шлюз сертификаты, қисық немесе сервер аутентификациясы конфигурациясы бірге жұмыс істейді дегенді дәлелдемейді. Сервердің сәйкестігін, оның тізбегін және IKE аутентификация әдісін жеке кірістер ретінде тексеріп, нақты орналастырылатын профильмен сынаңыз.
Егер мәселе шлюз сертификатында болса, симптом әдетте сәйкестікті таңдауда емес, серіктесті тексеру кезінде пайда болады. Клиент түрін өзгерту алдында сәтсіздік кезеңін оқыңыз, өйткені сенім сәтсіздігі мен клиент кілтінің сәйкессіздігі бірдей түзетуді қажет етпейді.
Шығарушының қолтаңбасы мен кілт келісім тобы клиент түрі емес
X.509 субъектінің ашық кілтін және шығарушының қолтаңбасын бөлек өрістерде ұстайды. Субъектінің ашық кілт ақпараты сертификаттағы кілтті сипаттайды; қолтаңба алгоритмі CA кілтін және қол қою операциясын сипаттайды. Сертификат түрі параметріне тек біріншісі сәйкес келеді.
IKE және Child SA ұсыныстары басқа ось. ECDSA сертификат түрі ESP шифрлау таңдауы емес, ал кілт келісім тобын өзгерту сертификат түрін таңдамайды. Профильде жарамды ұсыныстар мен қате сәйкестік түрі, немесе дұрыс сәйкестік түрі мен серіктес қабылдамайтын ұсыныс болуы мүмкін.
Өзгерістер журналында үш жолды бөлек ұстаңыз: сәйкестік сертификаты мен кілт, шлюздің сенім кірістері және ұсыныстар алгоритмдері. Оларды бір "крипто параметрлер" жазбасына біріктіру келесі сәтсіздікті телуге келтірмейді.
Конфигурациялаған өрістермен шешімді тексеріңіз
Профиль шын мәнінде сілтейтін сәйкестікті тексеріңіз, содан кейін сол сілтемедегі сертификаттың күтілетін ашық кілті мен жарамды жеке кілті бар екенін растаңыз. Интерфейсте көрсетілген түр, сілтелген сертификат және құрылғыдағы кілт үйлесуі керек.
Содан кейін шлюз кірістерін растаңыз: күтілетін сервер атауы, сенім тірегі және IKE аутентификация әдісі. Соңында қосылып, қол алысудың қай жерде тоқтайтынын оқыңыз. Сәйкестік алмасуға дейінгі сәтсіздік бұл параметрден алыстатады; серіктесті тексеру кезіндегі сәтсіздік шлюз жағына нұсқайды.
Таңдалған түрді, сәйкестік сілтемесін және шлюз сертификатының субъектісін орналастыру жазбаларына жазыңыз. Келесі профиль жаңартуы олардың кез келгенін өзгертуі мүмкін, ал үш атаулы мәнді салыстыру параметрлер панелінің скриншотынан жылдамырақ.