iPhone'до IKEv2 сертификатын жөндөө: кол менен же башкарылуучу каттоо

RSA'ны шлюздун сертификат куралы демейки боюнча колдонгондуктан тандаа — бул маанилүү суроого чейин кабыл алынган чечим: бул iPhone'дор кантип катталат? Колдонуучу өзү терген туташуу менен башкаруу тарабаган конфигурация профили ар башка жөндөөлөрдү көрсөтөт, ал эми айрым сертификат тандоолору ушул эки жолдун биринде гана болот. Ирети туура болсо, сертификат планы кыскарат; ката кетирсеңиз, телефон колдонбой турган күбөлүк бересиз. Төмөнкү кадамдарды ырааттуулук катары караңыз, анткени ар бири кийинкиси үчүн жеткиликтүү тандоолорду тарайтат.

Биринчи кадам: каттоо жолун тандаңыз

Кол менен жөндөө — колдонуучу сервердин дарегин киргизип, аутентификация ыкмасын тандап, интерфейс уруксат берген ар кандай күбөлүктү берет дегенди билдирет. Башкарылуучу каттоо — профиль даректи, идентификаторлорду жана күбөлүк жүктөмүнө шилтемени алып жүрөт дегенди билдирет. Башкарылуучу жол кол менен экран көрсөтө албаган айкалыштарды билдире алат, ошондуктан сертификат жөнүндөгү чечим ушул тандоодон кийин келиши керек, мурун эмес.

Эки жол тең телефонду аутентификациялай алат. Алар эмнени жөндөө мүмкүн экени жана идентификатор кимге таандык экени менен айырмаланат, ошондуктан башкарылуучу профилди кол менен күбөлүк киргизүү менен аралаштыруунун ордуна бирин атайылап тандаңыз.

Экинчи кадам: тандаган жолуңуз үчүн алгоритмдерди тандаңыз

Кол менен конфигурацияланган iPhone'дор үчүн strongSwan'дын iOS шайкештик жазуулары RSA сервердик сертификатын сунуштайт, анткени кол менен кардар ECDSA сервердик сертификатын кабыл албашы мүмкүн; ошол эле жазуулар macOS'ту өзүнчө карайт. Муну колдоого алынган кардарлар тобу үчүн көрсөтмө катары окуңуз, Apple түзмөктөрү тууралуу түбөлүк мыйзам катары эмес. Башкарылуучу профилдин мүмкүнчүлүгү кененирээк: жүктөм жана шлюз экөө тең колдосо, ал сертификаттын түрүн ачык тандай алат, анын ичинде ECDSA кардар идентификаторун.

Бир нерсени жайгаштырганга чейин өзүңүз чындап колдогон iOS версияларын текшериңиз. Эң жаңы чыгарылыштагы лабораториялык телефон эски түзмөктөрдү камтыган паркты сүрөттөбөйт, ал эми лабораторияда иштеген алгоритм талаадагы эң эски телефондо да ишке ашпашы мүмкүн. Версиялардын диапазонун эстутумдан эмес, түзмөктөрдү башкаруудан алыңыз. Парк бир нече чыгарылышты камтыса, эң эскисин биринчи сынаңыз, анткени кол менен интерфейс так ошол жерде эң чектелген.

Үчүнчү кадам: профилдин талааларын өзүнчө нерселер катары окуңуз

Окшош аталыштагы бир нече ачкыч ар башка объектилерди сүрөттөйт. Алыскы дарек — телефон чалган хост. Алыскы идентификатор — шлюз сунуштайт деп күтүлгөн IKE идентификатору. Жүктөмдүн сертификат шилтемеси кардардын күбөлүгүн көрсөтөт, ал эми сертификаттын түрү талаасы IKEv2 машиналык аутентификациясы үчүн колдонулуучу түрдү тандайт. Сөздөр кабатташса да, алардын бири да CA'нын кол тамга алгоритми эмес.

Apple'дын IKEv2 жүктөм шилтемеси RSA'ны ачык ECDSA варианттары менен демейки сертификат түрү катары тизмелеп, чыгаруучунун аталыш ачкычын белгилүү аутентификация жөндөөлөрүнө байланыштырат. Бул байланыштарды иштеп жаткан жайгаштыруудан бир ачкыч көчүрүүнүн ордуна тандаган ыкмаңыздын шилтемесинен окуңуз.

Төртүнчү кадам: шлюздун идентификаторун сертификатына шайкештештириңиз

Ачык шлюз атын колдонуңуз, мисалы vpn.example.com жана сервер сертификатына шайкеш келген альтернатива субъект атын коюңуз. strongSwan'дын Apple көрсөтмөсү сервердик аутентификация үчүн кеңейтилген ачкыч колдонууну да күтөт. RSA же ECDSA тандоо мунун эч бирин өзгөртпөйт: алгоритм аттын дал келбестигин, жетишпеген EKU'ну же толук эмес чынжырды оңдой албайт.

Ишеним тирегин бөлүштүрүү идентификаторду ырастоодон өзүнчө милдет. Телефонго текшере ала турган сертификат чынжыры керек жана ал сертификатка чындап койгон атты күтүүгө конфигурацияланышы керек.

Башка платформанын ийгиликтүү туташуусу ошол платформанын текшерүү эрежелери жөнүндө далил, телефондун эрежелерин бошотууга уруксат эмес. Айырмаланууга документтелген себебиңиз болбосо, текшерүүлөрдү кардарлар арасында бирдей кармаңыз.

Бешинчи кадам: кардардын идентификаторун CA ишениминен бөлүңүз

Кардардын сертификаты жана анын жеке ачкычы телефон ишенген CA сертификаты менен бир объект эмес. CA сертификатын PKCS#12 идентификаторунун ичине топтоо аны колдоого алынган ар бир түзмөктө ишеним тиреги катары автоматтык түрдө орнотпойт, ошондуктан ишенимди бөлүштүрүүнү өзүнүн текшерүүсү бар өзүнчө кадам катары караңыз.

Эгер дизайн анын ордуна сырсөзгө негизделген EAP колдонсо, телефонго көздөлгөн каттоо эсебин аутентификациялоо жана серверди текшерүү керек. Бул жол бүт паркка бир жалпы кардардык жеке ачкычты жиберүүнү актай албайт, бул башка дизайн жана алда канча жаман ишке ашпоо режимине ээ.

Планды жаңыртуу жана жокко чыгарууну эске алып бүтүрүңүз: кардардын күбөлүгүн ким кайра берет, профиль кантип жаңыртылат жана жоголгон телефон кантип ажыратылат. Текшерген профилдин версиясын жана түзмөк версияларын жазып алыңыз, анткени дал ошол жазуу кийинки сертификат алмаштырууну кадимки ишке айландырат.