Mac VPN сертификаты: шлюз кайсы эсепти көрөт?
Профиль белгиси, күбөлүк жана эсеп талаасы ар башка суроолорго жооп берет. Бир нерсенин атын өзгөртүүдөн мурун негизги адамды шлюздун салыштыруусуна чейин ээрчиңиз.
Профиль сиздин атыңызды көрсөтөт, сертификаттын көрүнүүчү белгиси башка нерсени айтат, ал эми шлюздун журналы үчүнчү идентификаторду жазат. Алардын эч бири жалган айтпайт, жана көйгөй дал ушунда: үч башка талаа бир суроого жооп берип жаткандай окулат. Туташуу күбөлүктү, IKEv2 идентификаторун жана эсепти сунуштайт, ал эми шлюз алардын кайсынысы эмнеге уруксат берерин чечет.
Бир туташууда үч инсан
Көрүнүүчү профиль аты адамдар үчүн белги. Ал туташууну тандайт, андан башка эч нерсе эмес. Сертификат — күбөлүк, жана анын бир нерсени далилдей алышы кардарда тиешелүү жеке ачкычтын бар-жогуна байланыштуу. Эсеп талаасы негизги адам жөнүндө билдирүү, ал эми сервер аны башка жергиликтүү инсанга салыштырууга эркин.
Аутентификация ишке ашпаганда, ката үчөөнүн кайсынысына тиешелүү экенин сураңыз. Четке кагылган күбөлүк, белгисиз идентификатор жана өчүрүлгөн эсеп ар башка билдирүүлөрдү жаратат, жана аларды бир «сертификат көйгөйү» деп кароо сизди туура эмес консолго жөнөтөт.
Жергиликтүү талааларды милдеттерине карап окуңуз
Башкарылуучу жергиликтүү IKEv2 конфигурациясында Apple'дын пайдалуу жүктөм шилтемеси маанилерди бөлөт, ал эми аутентификация ыкмасы кайсы айкалыш керек экенин аныктайт:
| Field | Identifies | Common misreading |
|---|---|---|
| AuthName | Username for the configured arrangement | Assuming it is the certificate subject |
| LocalIdentifier | IKEv2 client identifier | Assuming it must equal the username |
| PayloadCertificateUUID | Referenced credential payload | Assuming any installed certificate will do |
Сертификат жана EAP кирүү бир эле туташууда ар башка ролдорго ээ болушу мүмкүн. Алардын бири ошентип жасайт деп ар бир талааны бирдей текстти кармоого мажбурлабаңыз, жана бирөөнү өзгөртүү калгандарын жокко чыгарат деп ойлобоңуз. Үчүнчү тараптын VPN колдонмосу таптакыр башка модель көрсөтүшү мүмкүн; жергиликтүү талаа аттарын ага көчүрүүнүн ордуна анын документтелген инсан тандоосун колдонуңуз.
Сервер сертификаты кардардын инсаны эмес
Шлюзду текшерүүчү сертификат — ишенимдин таянычы. Ал күткөн сервериңизге жеткениңизди далилдейт. Кардардын инсаны — башка объект: ал туташып жаткан тарап өзүн ким деп көрсөтсө, ошол экенин далилдеген жеке ачкычка жетүүнү камтыйт. Көрүнүүчү эсептин атын өзгөртүү бирөөнү экинчисине айландыра албайт.
Ушул жерде жакшы ниеттүү оңдоо жаңылат. Шлюздун CA сертификатын кардар кампасына импорттоо кардар аутентификациясы үчүн эч нерсе кылбайт, жана бул жазууну колдонуучунун аты менен белгилөө аны колдонуучу инсанына айландырбайт. Эки объект профилдин ар башка бөлүктөрүндө жашайт жана ар башка суроолорго жооп берет.
Негизги адамды шлюздун салыштыруусуна чейин ээрчиңиз
Күбөлүктүн эмне үчүн берилгенин ырастаңыз: ушул колдонуучуга, ушул түзмөккө же жалпы ролго. Mac кирүү эсеби автоматтык түрдө ал негизги адам эмес, жана башка машинадан көчүрүлгөн сертификат ал берилген машинанын инсанын сактайт.
Андан кийин белгини эмес, чыныгы күбөлүктү салыштырыңыз. Берүүчү, сериялык номер жана манжа изи сизге жана администраторго бир объект жөнүндө сүйлөшүп жатканыңызды ырастоого мүмкүндүк берет. Көрсөтүлүүчү аттарды оңдоого болот жана алар көп кайталанат, бул аларды окуя учурунда эң начар идентификаторго айландырат.
Акыркы кадам шлюзде. Анын ээсинен бир туташууну сунушталган идентификаторлор менен жана аларды колдонгон эсеп салыштыруу эрежеси менен байланыштыруусун сураныңыз. Кардар тараптагы белги сервер эмне чечкенин аныктай албайт, ал эми сертификатты өчүрүлгөн эсепке салыштырган эреже кардардын бардык талаалары туура көрүнгөндө ишке ашпайт.
Бул дал келбестикке ээ катмарды оңдоңуз
Эгер профиль туура эмес күбөлүккө шилтесе, анын шилтемесин же тандоосун оңдоңуз. Эгер күбөлүк башка негизги адамга таандык болсо, белгилерди оңдоонун ордуна берүүчүнүн кайра каттоосунан өтүңүз. Эгер шлюз жарамдуу күбөлүктү туура эмес эсепке байласа, анын саясат ээси салыштырууну оңдошу керек. Булар — үч башка өзгөртүү, үч башка бекитүүчү менен.
Жаңыртуу да ушундай камкордукка татыктуу. Сертификатты алмаштыруу, анын көрүнүүчү белгисин кайра атоо жана адамды эсеп системаларынын ортосунда жылдыруу салыштырууга сөзсүз түрдө бирдей таасир этпейт. Үчөөнүн кайсынысын өзгөрткөнүңүздү жазып коюңуз, анткени кийинки ишке ашпоо кардар тараптан бирдей, ал эми шлюздун журналында башкача көрүнөт.
Колдоо кызматына керектүү эң аз жарыя идентификаторлорду гана бөлүшүңүз. Жеке ачкыч же толук инсан топтому бул алмашууга эч качан кирбейт, диагностика канчалык ыңгайлуу болбосун.