Mac IKEv2 ECDSA: кайсы сертификат түрү кардарга таандык?
Mac'те IKEv2 жөндөөлөрүндөгү ECDSA256 жергиликтүү идентификация сертификатын сүрөттөйт, шлюздун же чыгаруучунун кол тамгасын эмес. Тандоодон мурун ар бир ролду окуңуз.
macOS'те IKEv2 кардар жөндөөсүндөгү ECDSA тандоосу тар суроого жооп берет: кайсы сертификат Mac'тин идентификациясын далилдейт. Ал шлюздун сертификатын, кардар сертификатын чыгарган кол тамганы же туннелдин шифрлоо сунушун сүрөттөбөйт. Бул төрт ролду бир шайкештик суроосу катары кароо туура жергиликтүү жөндөөнү сервер тараптагы шайкешсиздикке күнөөлөйт. Чечим кичине, бирок аны кабыл алуу үчүн колдонулган далилдер так болушу керек.
Талаа бир сертификатты атайт: жергиликтүү идентификация
Apple'дын Network Extension API кардардын ишенимдүү маалыматтары үчүн сертификат түрүн сунуштайт, анын ичинде NEVPNIKEv2CertificateType.ECDSA256, ECDSA p-256 сертификат түрү катары документтелген. Касиет identityReference же identityData аркылуу берилген сертификатка тиешелүү.
Бул чечим Mac сунуштаган сертификатка жана ага коштолгон жеке ачкычка тиешелүү дегенди билдирет. Ошол жалбырак сертификаттын ачык ачкычына туура келген түрдү тандап, идентификацияны колдоого алынган механизм аркылуу бериңиз. Эгер Mac'те идентификация үчүн жарактуу жеке ачкыч болбосо, түр тандоо байланышты куткара албайт.
Башкарылуучу профилдер ошол эле чечимди IKEv2 жүктөмүнүн CertificateType аркылуу кабыл алышат, ага PayloadCertificateUUID сыяктуу сертификат шилтемеси коштолот. Бул талаалардын максаттуу ОС чыгарылышы үчүн алдын ала шарттары жана схемасы бар; профилге көчүрүлгөн жылаңач түр мааниси орнотулбайт, ал эми жөндөөлөр терезеси API'нин ар бир опциясын көрсөтпөшү мүмкүн. Жайгаштыруудан мурун ошол чыгарылыш үчүн жүктөмдүн алдын ала шарттарын текшериңиз.
Сертификаттын белгисине эмес, ролго карап чечиңиз
Өзгөртүүгө даярданып жаткан талааны окуп, ал кайсы сертификатка шилтейт экенин сураңыз. Сертификат көрүүчүдөгү белгилер субъектини, чыгаруучуну жана кол тамга алгоритмин аралаштырат, алардын бири гана кардардын идентификациясын тандоого тиешелүү.
| What you inspected | What it controls | Does it choose the Mac certificate type? |
|---|---|---|
| Client leaf public key | The identity the Mac presents | Yes, this is the field's subject |
| Issuer signature algorithm | How the client certificate was signed | No |
| Gateway certificate | What the Mac validates as the peer | No, check it separately |
| IKE and ESP proposals | Algorithms for the tunnel | No, separate proposal settings |
Эгер сертификат көрүүчү CA'дан ECDSA кол тамгасын көрсөтсө, бул чыгаруучунун кол коюу ачкычын сүрөттөйт. Кардардын өз ачкычы дагы эле RSA болушу мүмкүн, ал эми түр талаасы кол тамга сабына эмес, кардардын ачкычына ээриши керек. Ушул бир адашуу "ECDSA конфигурацияланган, бирок байланыш ишке ашпайт" деген көптөгөн билдирүүлөрдү түшүндүрөт. Бир нерсени өзгөртүүдөн мурун жалбырактагы ачкыч түрүн профилде тандалган түр менен салыштырыңыз.
Жалбырак аныкталгандан кийин чечим жеңилдейт: p-256 кардар ачкычы үчүн ECDSA256, башка ачкыч үчүн башка колдоого алынган түр. Эгер кардар сертификаты менен анын ачкычы дал келбесе, VPN профилин өзгөртүүдөн мурун ошол жупту оңдоңуз.
Шлюздун сертификаты өзүнчө чечим
Шлюз өзүнүн сертификатын сунуштайт, ал эми Mac аны ишеним тирегине жана күтүлгөн атка каршы текшерет. Бул сертификаттын ECDSA, RSA же башка ачкыч түрүн колдонушу сервердин касиети, кардар идентификациясынын жөндөөсүнүн эмес.
ECDSA кардар сертификатына жергиликтүү колдоо ар кандай шлюз сертификаты, ийри сызык же сервер аутентификация конфигурациясы бирге иштейт дегенди далилдебейт. Сервердин идентификациясын, анын чынжырын жана IKE аутентификация ыкмасын өзүнчө киргизүүлөр катары текшерип, чындыгында жайгаштырылуучу профил менен сынаңыз.
Эгер көйгөй шлюздун сертификатында болсо, симптом көбүнчө идентификация тандоодо эмес, өнөктөштү текшерүү учурунда пайда болот. Кардардын түрүн өзгөртүүдөн мурун ишке ашпоо баскычын окуңуз, анткени ишенимдин ишке ашпоосу жана кардар ачкычынын шайкешсиздиги бирдей оңдоону талап кылбайт.
Чыгаруучунун кол тамгасы жана ачкыч келишим тобу кардардын түрү эмес
X.509 субъектинин ачык ачкычын жана чыгаруучунун кол тамгасын өзүнчө талааларда сактайт. Субъектинин ачык ачкыч маалыматы сертификаттагы ачкычты сүрөттөйт; кол тамга алгоритми CA'нын ачкычын жана кол коюу операциясын сүрөттөйт. Сертификат түрүнүн жөндөөсүнө биринчиси гана туура келет.
IKE жана Child SA сунуштары башка огу. ECDSA сертификат түрү ESP шифрлоо тандоосу эмес, ал эми ачкыч келишим тобун өзгөртүү сертификат түрүн тандабайт. Профилде жарактуу сунуштар менен туура эмес идентификация түрү, же туура идентификация түрү менен өнөктөш четке каккан сунуш болушу мүмкүн.
Өзгөртүүлөр журналында үч сапты өзүнчө кармаңыз: идентификация сертификаты жана ачкыч, шлюздун ишеним киргизүүлөрү жана сунуштардын алгоритмдери. Аларды бир "крипто жөндөөлөр" жазуусуна бириктирүү кийинки ишке ашпоону телөөгө мүмкүн эмес кылат.
Конфигурациялаган талаалар менен чечимди текшериңиз
Профил чындыгында шилтеген идентификацияны текшериңиз, андан кийин ошол шилтемедеги сертификатта күтүлгөн ачык ачкыч жана жарактуу жеке ачкыч бар экенин ырастаңыз. Интерфейсте көрсөтүлгөн түр, шилтелген сертификат жана түзмөктөгү ачкыч дал келиши керек.
Андан кийин шлюздун киргизүүлөрүн ырастаңыз: күтүлгөн сервер аты, ишеним тиреги жана IKE аутентификация ыкмасы. Акырында туташып, кол алышуу кайда токтой турганын окуңуз. Идентификация алмашууга чейинки ишке ашпоо бул жөндөөдөн алыстатат; өнөктөштү текшерүүдөгү ишке ашпоо шлюз тарабын көрсөтөт.
Тандалган түрдү, идентификация шилтемесин жана шлюз сертификатынын субъектисин жайгаштыруу жазууларына жазыңыз. Кийинки профиль жаңыртуу алардын кайсынысын болсо да өзгөртүшү мүмкүн, ал эми үч аталган маанини салыштыруу жөндөөлөр панелинин скриншотунан тезирээк.