Mac VPN 인증서: 게이트웨이는 어느 계정을 보는가?

프로필에는 당신의 이름이 표시되고, 인증서의 표시 라벨은 다른 말을 하며, 게이트웨이 로그에는 세 번째 식별자가 기록됩니다. 어느 것도 거짓말은 아니며, 바로 그것이 문제입니다. 서로 다른 세 필드가 마치 하나의 질문에 답하는 것처럼 읽히고 있습니다. 연결은 자격 증명, IKEv2 식별자, 계정을 제시하고, 게이트웨이는 그중 무엇이 무엇을 승인하는지 결정합니다.

하나의 연결에 세 개의 정체성

보이는 프로필 이름은 사람을 위한 라벨입니다. 연결을 선택할 뿐 그 이상은 아닙니다. 인증서는 자격 증명이며, 무언가를 증명할 수 있는지는 클라이언트가 일치하는 개인 키를 가지고 있는지에 달려 있습니다. 계정 필드는 주체에 대한 주장이고, 서버는 이를 다른 로컬 정체성에 매핑할 자유가 있습니다.

인증이 실패하면 오류가 세 가지 중 어디를 가리키는지 물어보세요. 거부된 자격 증명, 알 수 없는 식별자, 비활성화된 계정은 서로 다른 메시지를 만들어 내며, 이를 하나의 «인증서 문제»로 취급하면 잘못된 콘솔로 보내집니다.

네이티브 필드를 역할에 따라 읽으세요

관리되는 네이티브 IKEv2 구성에서 Apple의 페이로드 참조는 값을 분리하고, 인증 방법이 어떤 조합이 필요한지 결정합니다:

인증서와 EAP 로그인은 같은 연결에서 서로 다른 역할을 가질 수 있습니다. 그중 하나가 그렇다는 이유만으로 모든 필드에 같은 텍스트를 강제하지 말고, 하나를 바꾸면 나머지가 무효가 된다고 가정하지 마세요. 타사 VPN 앱은 전혀 다른 모델을 보여 줄 수 있습니다. 네이티브 필드 이름을 그쪽으로 옮기는 대신 그 앱의 문서화된 정체성 선택을 사용하세요.

서버 인증서는 클라이언트 정체성이 아닙니다

게이트웨이를 검증하는 인증서는 신뢰의 닻입니다. 기대한 서버에 도달했음을 증명합니다. 클라이언트 정체성은 다른 객체입니다. 연결하는 측이 주장하는 바로 그 당사자임을 증명하는 개인 키에 대한 접근을 포함합니다. 보이는 계정의 이름을 바꾸는 것으로는 하나를 다른 하나로 바꿀 수 없습니다.

여기서 선의의 수정이 잘못됩니다. 게이트웨이의 CA 인증서를 클라이언트 저장소로 가져와도 클라이언트 인증에는 아무 효과가 없고, 그 항목에 사용자 이름을 붙여도 사용자 정체성이 되지 않습니다. 두 객체는 프로필의 다른 부분에 살며 서로 다른 질문에 답합니다.

주체에서 게이트웨이 매핑까지 따라가세요

자격 증명이 무엇을 위해 발급되었는지 확인하세요. 이 사용자인지, 이 기기인지, 공유 역할인지. Mac 로그인 계정이 자동으로 그 주체가 되는 것은 아니며, 다른 머신에서 복사한 인증서는 발급 대상 머신의 정체성을 유지합니다.

그다음에는 라벨이 아니라 실제 자격 증명을 비교하세요. 발급자, 일련번호, 지문이 있으면 당신과 관리자가 같은 객체를 이야기하고 있음을 확인할 수 있습니다. 표시 이름은 편집 가능하고 자주 중복되므로, 사고 중에는 최악의 식별자가 됩니다.

마지막 단계는 게이트웨이에 있습니다. 그 소유자에게 하나의 연결을 제시된 식별자와, 그것을 소비한 계정 매핑 규칙에 연관 지어 달라고 요청하세요. 클라이언트 측 라벨로는 서버가 무엇을 결정했는지 확인할 수 없으며, 인증서를 비활성화된 계정에 매핑하는 규칙은 클라이언트 측 필드가 모두 올바르게 보여도 실패합니다.

불일치를 소유한 계층을 고치세요

프로필이 잘못된 자격 증명을 가리키면 그 참조나 선택을 바로잡으세요. 자격 증명이 다른 주체의 것이라면 라벨을 편집하는 대신 발급자의 재등록을 거치세요. 게이트웨이가 유효한 자격 증명을 잘못된 계정에 묶는다면 그 정책 소유자가 매핑을 고쳐야 합니다. 이는 서로 다른 세 가지 변경이며 승인자도 세 명입니다.

갱신에도 같은 주의가 필요합니다. 인증서를 교체하고, 표시 라벨을 바꾸고, 사람을 계정 시스템 사이로 옮기는 일이 반드시 같은 방식으로 매핑에 영향을 주지는 않습니다. 세 가지 중 무엇을 바꿨는지 기록하세요. 다음 장애는 클라이언트에서는 동일하게, 게이트웨이 로그에서는 다르게 보일 것입니다.

지원에 필요한 최소한의 공개 식별자만 공유하세요. 개인 키나 전체 정체성 번들은 진단이 아무리 편해져도 그 교환에 포함되지 않습니다.