Mac VPN сертификаты: неге сәйкестендіру таңдағышы бос қалады
Клиентке өзінің жеке кілтімен бірге сертификат керек, ол оқитын қоймада. Алдымен сәйкестендіруді тексеріңіз, содан кейін қақпаның оны қабылдайтынын тексеріңіз.
Сіз сертификатты орнаттыңыз, ол Keychain Access-те таныс атпен көрінеді, ал VPN клиентінің сәйкестендіру таңдағышы әлі де бос. Клиент сертификат іздемейді. Ол сәйкестендіруді іздейді: жеке кілтпен жұпталған, иелікті дәлелдей алатын сертификат, клиент оқуға рұқсат етілген жерде сақталған.
Клиент сұрайтыны — сәйкестендіру
Apple қауіпсіздік құрылымы сертификат пен сәйкестендіруді әртүрлі нысандар ретінде қарастырады. Сертификат — жария деректер. Сәйкестендіру — сол сертификат пен оның жеке кілті, және сынақты тек сәйкестендіру аяқтай алады. Ал сенімді CA сертификаты клиентке эмитентті бағалауға мүмкіндік береді; ол машинаны берілген клиенттік куәліктің иесі етпейді.
| Item | What it can do | What it cannot do |
|---|---|---|
| CA or server certificate | Validate the gateway's chain | Authenticate this client |
| Client certificate without key | Nothing for authentication | Prove possession of anything |
| Identity (cert plus key) | Answer the authentication challenge | Guarantee the gateway accepts it |
Сондықтан .cer файлын импорттау ешқашан пайдалануға жарамды клиенттік сәйкестендіру жасамайды. Файл тек жария материалды қамтиды, және оны қанша рет қайта атасаңыз да, сенімді деп танысаңыз да, ол кілттер жұбына айналмайды.
Таңдағыштың бос қалуының үш себебі
Біріншісі — жеке кілттің болмауы, яғни тіркеу немесе импорттау процесі оны бермеген. Екіншісі — клиент қарамайтын қойма: пайдаланушы деңгейіндегі профиль пайдаланушының кілттер жинағынан қарайды, ал жүйелік қоймаға қойылған элемент оған көрінбеуі мүмкін. Үшіншісі — мақсат немесе саясат сәйкессіздігі, мұнда сертификат бар, бірақ орналастыру ережелері бойынша клиенттік аутентификацияға жарамды емес.
security find-identity -v -p ssl-clientБұл жүйе клиенттік аутентификацияға жарамды деп санайтын сәйкестендірулерді тізімдейді. Егер саны нөл болса, мәселе VPN клиентінен жоғарыда және профильді өңдеу оны түзетпейді. Егер сәйкестендіру осында көрініп, клиентте көрінбесе, айырмашылық клиенттің қоймасында немесе аясында.
Жеке кілт қайда тұрады және кім оны пайдалана алады
Keychain Access арқылы сәйкестендіруді импорттағанда, импорт диалогы мақсатты кілттер жинағын ұсынады. Қай мақсат дұрыс екені клиентке және профильдің пайдаланушылық немесе құрылғылық аяда екеніне байланысты. Жүйелік кілттер жинағын ұсынатын ескі жауап әмбебап ереже емес, және қоймалар арасында элементтерді көшіру жөндеу емес.
System Roots — сенім жинағы. Оған сертификат қою жүйенің қай эмитенттерге сенетінін өзгертеді; ол жеке кілт жасамайды және сәйкестендіру қоймасы емес. Таңдағышты толтыру үшін байланыссыз сертификаттарды жылжыту машинаны тұрақты түрде кеңейтілген сенім жиынтығымен қалдыратын жөндеу түрі.
Жеке кілтке қатынас — жеке бақылау. Әр қолданбаға кілтті пайдалануға рұқсат беру бір клиенттің таңдау мәселесін шешеді және сол қабілетті машинадағы қалған барлық нәрсеге береді. Оны қажет ететін клиентке беріңіз және кілттің аппараттық қолдауы бар ма, әлде экспортталмайтын деп белгіленген бе, соны тексеріңіз; егер солай болса, экспортталған көшірменің орнына қолдау көрсетілетін провайдерді пайдалану керек.
Профиль куәлікке қалай сілтеме жасайды
Басқарылатын жергілікті IKEv2 конфигурациясында профиль өзінің куәлік жүктемесіне PayloadCertificateUUID арқылы сілтеме жасайды. Маңыздысы — сілтеме жасалған сәйкестендіру және оның қалай берілгені; профильдегі көрсетілетін атауды өңдеу қате жүктемеге немесе кілтті ешқашан бермеген жүктемеге сілтейтін сілтемені түзетпейді.
Үшінші тарап провайдері мүлде басқа таңдау механизмін пайдалануы мүмкін, мысалы өз қоймасын немесе жүйелік ескертуді. Жергілікті профиль болжамдарын көшірудің орнына сол провайдердің құжаттамасын оқыңыз және сілтемені нақты орнатылған профильде тексеріңіз, басқару консолінің жобасында емес.
Таңдау мен қабылдау — бөлек кезеңдер
Толтырылған таңдағыш клиенттің сәйкестендіруді тауып, пайдалана алатынын білдіреді. Бұл қақпа оны қабылдай ма, жоқ па, туралы ештеңе айтпайды. Сервер әлі де эмитентті, жарамдылық терезесін және қайтарып алу мәртебесін тексереді, сондай-ақ сол куәліктің тіркелгіге сәйкестендірілуін.
Екі кезеңді де анық, сол тәртіппен тексеріңіз. Сәйкестендіру ұсынылатынын растаңыз, қосылыңыз, содан кейін қақпа иесінен қай куәлік ұсынылғанын және қай сәйкестендіру ережесі оны тұтынғанын растауды сұраңыз. Егер клиент сәйкестендіруді ұсынып, сервер оны қабылдамаса, қалған жұмыс сервер жағында. Mac-те сертификатты қайта орнату бұл нәтижені өзгертпейді, қанша рет қайталанса да.