Mac VPN сертификаты: шлюз қай тіркелгіні көреді?

Профиль сіздің атыңызды көрсетеді, сертификаттың көрінетін белгісі басқа нәрсе дейді, ал шлюз журналы үшінші идентификаторды жазады. Олардың ешқайсысы өтірік айтпайды, және мәселе дәл осында: үш түрлі өріс бір сұраққа жауап бергендей оқылады. Қосылым куәлік, IKEv2 идентификаторы және тіркелгі ұсынады, ал шлюз олардың қайсысы нені рұқсат ететінін шешеді.

Бір қосылымда үш тұлға

Көрінетін профиль атауы адамдарға арналған белгі. Ол қосылымды таңдайды, одан артық емес. Сертификат — куәлік, ал оның бірдеңені дәлелдей алуы клиентте сәйкес жеке кілттің болуына байланысты. Тіркелгі өрісі негізгі тұлға туралы мәлімдеме, ал сервер оны басқа жергілікті тұлғаға салыстыруға ерікті.

Аутентификация сәтсіз болғанда, қатенің үшеуінің қайсысына қатысты екенін сұраңыз. Қабылданбаған куәлік, белгісіз идентификатор және өшірілген тіркелгі әртүрлі хабарламалар шығарады, ал оларды бір «сертификат мәселесі» деп қарау сізді дұрыс емес консольге жібереді.

Жергілікті өрістерді қызметіне қарай оқыңыз

Басқарылатын жергілікті IKEv2 конфигурациясында Apple-дың пайдалы жүктеме сілтемесі мәндерді бөледі, ал аутентификация әдісі қай комбинация қажет екенін анықтайды:

Сертификат пен EAP кіруі бір қосылымда әртүрлі рөлдерге ие болуы мүмкін. Тек солардың біреуі солай етеді деп әр өрісті бірдей мәтінді ұстауға мәжбүрлемеңіз, және біреуін өзгерту қалғандарын жояды деп ойламаңыз. Үшінші тараптың VPN қолданбасы мүлде басқа модель ұсынуы мүмкін; жергілікті өріс атауларын оған көшірудің орнына оның құжатталған тұлға таңдауын қолданыңыз.

Сервер сертификаты клиент тұлғасы емес

Шлюзді тексеретін сертификат — сенім тірегі. Ол күткен серверіңізге жеткеніңізді дәлелдейді. Клиент тұлғасы — басқа объект: ол қосылып жатқан тараптың өзін кім деп көрсетсе, сол екенін дәлелдейтін жеке кілтке қолжетімділікті қамтиды. Көрінетін тіркелгіні қайта атау біреуін екіншісіне айналдыра алмайды.

Осы жерде жақсы ниетті түзету қателеседі. Шлюздің CA сертификатын клиент қоймасына импорттау клиент аутентификациясы үшін ештеңе істемейді, ал бұл жазбаны пайдаланушы атымен белгілеу оны пайдаланушы тұлғасына айналдырмайды. Екі объект профильдің әртүрлі бөліктерінде тұрады және әртүрлі сұрақтарға жауап береді.

Негізгі тұлғаны шлюздің салыстыруына дейін бақылаңыз

Куәліктің не үшін берілгенін растаңыз: осы пайдаланушыға, осы құрылғыға немесе ортақ рөлге. Mac кіру тіркелгісі автоматты түрде сол негізгі тұлға емес, ал басқа машинадан көшірілген сертификат ол берілген машинаның тұлғасын сақтайды.

Содан кейін белгіні емес, нақты куәлікті салыстырыңыз. Шығарушы, сериялық нөмір және саусақ ізі сізге және әкімшіге бір объект туралы сөйлесіп жатқаныңызды растауға мүмкіндік береді. Көрсетілетін атауларды өңдеуге болады және олар жиі қайталанады, бұл оларды оқиға кезінде ең нашар идентификаторға айналдырады.

Соңғы қадам шлюзде. Оның иесінен бір қосылымды ұсынылған идентификаторлармен және оларды тұтынған тіркелгіні салыстыру ережесімен байланыстыруды сұраңыз. Клиент жағындағы белгі сервердің не шешкенін анықтай алмайды, ал сертификатты өшірілген тіркелгіге салыстыратын ереже клиенттің барлық өрістері дұрыс көрінген кезде сәтсіз болады.

Осы сәйкессіздікке ие қабатты жөндеңіз

Егер профиль дұрыс емес куәлікке нұсқаса, оның сілтемесін немесе таңдауын түзетіңіз. Егер куәлік басқа негізгі тұлғаға тиесілі болса, белгілерді өңдеудің орнына шығарушының қайта тіркелуінен өтіңіз. Егер шлюз жарамды куәлікті дұрыс емес тіркелгіге байланыстырса, оның саясат иесі салыстыруды түзетуі керек. Бұл — үш түрлі өзгеріс, үш түрлі бекітушімен.

Жаңарту да сол қамқорлыққа лайық. Сертификатты ауыстыру, оның көрінетін белгісін қайта атау және адамды тіркелгі жүйелері арасында жылжыту салыстыруға міндетті түрде бірдей әсер етпейді. Үшеуінің қайсысын өзгерткеніңізді жазып қойыңыз, өйткені келесі ақау клиент жағынан бірдей, ал шлюз журналында басқаша көрінеді.

Қолдау қызметіне қажет ең аз жария идентификаторларды ғана бөлісіңіз. Жеке кілт немесе толық тұлға бумасы бұл алмасуға ешқашан кірмейді, диагностика қаншалықты ыңғайлы болса да.