Mac-та VPN-ға сертификатпен кіру: тұлға, кілтті қолдану немесе шлюзге сену?
Сертификатпен кіру артында үш шешім тұр: қай тұлға таңдалады, VPN компоненті өз кілтін қолдана ала ма және шлюзге сенуге бола ма.
Сертификатқа негізделген VPN кірулері Mac-тан құпиясөзден гөрі тар нәрсе сұрайды: осы нақты жеке кілтті, осы орындалу контекстінде, сол шлюзге тұлғаны дәлелдеу үшін қолдан. Сәтсіз болғанда, хабарлама әдетте тек ең соңғы дұрыс болмаған нәрсені сипаттайды, ал ол сирек себеп болады. Жүйе қабылдайтын ретпен үш шешімді аралап шығу диагностиканы адал ұстайды және жергілікті рұқсат мәселесін тізбекті тексеру қателігі ретінде қарауға жол бермейді.
Кіруді Mac жасайтын ретпен аралап шық
Алдымен клиент тұлға таңдайды: жарамды жеке кілтпен жұпталған сертификат, ол қолдау көрсетілетін қойма немесе тіркелгі деректерінің провайдері арқылы қолжетімді. Содан кейін VPN компоненті осы кілтпен криптографиялық операция орындауды сұрайды, ал жергілікті авторизация моделі жауап береді. Екеуі де сәтті болғаннан кейін ғана қашықтағы қол алысу орындалады, онда Mac шлюзді бағалайды, ал шлюз клиенттің дәлелін бағалайды.
| Decision | Typical symptom | Where to look |
|---|---|---|
| Identity selection | No valid identity, wrong certificate offered | Profile and which identity the client picked |
| Local key use | Signing or interaction error before any handshake | Execution context and key access rules |
| Remote authentication | Chain, name or client-admission rejection | Gateway identity and what it accepts |
Кестені жоғарыдан төменге қарап шық және бірінші сәтсіз жолда тоқта. Сәтсіздіктен төмендегінің бәрі дәлелденбеген, сондықтан «сертификатқа сенім жоқ» деген қорытынды соншалықты жиі және соншалықты сенімсіз.
Жергілікті рұқсат шын мәнінде нені қамтиды
macOS кілтсақтағыш моделінде қорғалған элементтер операцияға тән рұқсат ережелерін және сенімді қолданбалар тізімін алып жүреді. Жеке кілтпен қол қою — сол операциялардың бірі, ал ережелер оны орындайтын орындалатын файлға қолданылады, құжат ретіндегі сертификатқа емес. Apple-дың рұқсатты бақылау анықтамасы бұл модель мен iCloud кілтсақтағышы және рұқсат топтарының реттеулері арасында да шек қояды, сондықтан біреуіне жазылған кеңес екіншісіне ауыспайды.
Осыдан екі салдар шығады. Тізімде көрінетін ашық сертификат VPN-нің фондық компоненті сол кілтке мүлде жете алатынын дәлелдемейді. Ал алдыңғы қосымшаға берілген рұқсат жеке көмекші немесе желілік кеңейту туралы ештеңе айтпайды, өйткені олар — басқа тұлғалары бар басқа код.
Ескі клиенттен орындалатын файлдың жолын көшірудің орнына нақты іске асыруды және оның қолдайтын тіркелгі деректерін бөлісу тетігін анықта. Ең алдымен жүйенің қай тұлғаны ұсынатынын раста:
security find-identity -v -p ssl-clienterrSecInteractionNotAllowed дегенді қалай оқу керек
Бұл мәртебе Security Server-мен рұқсат етілмеген әрекеттестік туралы хабарлайды және сертификат тізбектері туралы ештеңе айтпайды. Оны тудырған операциямен бірге оқы: сұрау терезесін көрсете алмайтын контекстен жіберілген қолтаңба сұранысы кілт те, сертификат та толық жарамды болса да осылай сәтсіз болады. Бастау керек жер — оны журналға жазған операция, сертификат қоймасы емес. Сенім тіректеріне қатысты кез келген өзгеріс қатені дәл сол орнында қалдырады.
Сондықтан кодты орындалу контексті мен авторизацияны зерттеу себебі ретінде қарастыр. Оны шлюздің CA-сына сенім жоқтықтың дәлелі ретінде қарастыру сені мәселенің дұрыс емес жартысына жібереді, ал онда жасаған өзгерісің қатеге мүлде әсер етпейді.
Тар жөнде, кең емес
Қосылым иесінің тіркеу немесе импорттау нұсқауларынан баста. Клиент нұсқасын, профиль ауқымын, таңдалған тұлғаны және бірінші тиісті жергілікті қатені жазып ал, өйткені қолдауға тапсыруға дәл осы төрт дерек қажет және кейінгі салыстыру соған сүйенеді. Басқарылатын профиль немесе аппараттық қамтамасыз етілген тұлға әкімшінің немесе провайдердің тапсыруды жөндеуін талап етуі мүмкін, ал жергілікті басулардың ешбір мөлшері оның орнын баспайды.
Өнім пайдаланушының мақұлдауын күтетін жерде қай компонент сұрап жатқанын раста және қолдау көрсетілетін ағын арқылы тек сол рұқсатты мақұлда. Компонент өзі жұмыс істейтін контексте сұрау терезесін шығаруға мүмкіндігі жоқ жерде дайындау өндіруші құжаттаған жолмен жүруі керек, басқа терминал терезесінен сүйреп алынған диалогпен емес.
Ескі кеңестерде екі өзгеріс бірге беріледі, ал екеуі де тым кең. Әрбір қосымшаға жеке кілтке рұқсат беру жергілікті кілт қолданысын талаптан әлдеқайда кеңейтеді, ал сертификатты Always Trust-қа қою машинадағы барлық нәрсе үшін сертификат бағалауын өзгертеді. Екеуі де «осы мақұлданған VPN іске асырылуы, осы көзделген тұлғаны қолданып» дегенді білдірмейді.
Шлюзді оқымас бұрын жергілікті тексер
Жөндеуден кейін жергілікті операцияның сәтті екенін раста қарсы жақтан келген кез келген жауапты түсіндіруден бұрын. Егер қолтаңба енді жұмыс істесе, кейінгі атау, тізбек немесе клиентті жіберу қабылдамауы — қайталану емес, жаңа нәтиже, және ол басқа жауаптысы бар басқа шешімге жатады.
Пайдалы тапсыру үш шешімнің қайсысы сәтсіз болғанын атайды және сонда тоқтайды. Ол ешқашан жеке кілтті қамтымайды және таза күй көмектеседі деген үмітпен байланысы жоқ кілтсақтағыш элементтерін ешқашан қалпына келтірмейді. Осы екі дағдыны оқиға кезінде емес, оған дейін қалыптастыр, өйткені бәрін бірден байқап көру азғырығы сол кезде ең күшті болады. «Кілтсақтағыш қайта құрылды» деген билет келесі оқырманға бастапқы ақау туралы ештеңе дерлік айтпайды.