Mac VPN сертификаты: эмне үчүн инсандык тандоочусу бош бойдон калат
Кардарга өзүнүн жеке ачкычы менен бирге сертификат керек, ал окуган сактагычта. Адегенде инсандыкты текшериңиз, анан дарбаза аны кабыл алабы, ошону текшериңиз.
Сиз сертификатты орноттуңуз, ал Keychain Access ичинде тааныш ат менен көрүнөт, ал эми VPN кардарынын инсандык тандоочусу дагы эле бош. Кардар сертификат издебейт. Ал инсандыкты издейт: жеке ачкыч менен жупташкан, ээликти далилдей алган сертификат, кардар окууга уруксат берилген жерде сакталган.
Кардар сураган нерсе — инсандык
Apple коопсуздук алкагы сертификат менен инсандыкты ар башка объектилер катары карайт. Сертификат — ачык маалымат. Инсандык — ошол сертификат жана анын жеке ачкычы, жана чакырыкты жабык инсандык гана аткара алат. Ишенимдүү CA сертификаты болсо кардарга чыгарганды баалоого мүмкүндүк берет; ал машинаны берилген кардардык күбөлүктүн ээси кылбайт.
| Item | What it can do | What it cannot do |
|---|---|---|
| CA or server certificate | Validate the gateway's chain | Authenticate this client |
| Client certificate without key | Nothing for authentication | Prove possession of anything |
| Identity (cert plus key) | Answer the authentication challenge | Guarantee the gateway accepts it |
Ошондуктан .cer файлын импорттоо эч качан колдонууга жарактуу кардардык инсандык жаратпайт. Файлда ачык материал гана бар, жана аны канча жолу атасаңыз да, ишенимдүү деп тапсаңыз да, ал ачкычтар жуптуу болуп калбайт.
Тандоочусунун бош калышынын үч себеби
Биринчиси — жеке ачкычтын жоктугу, башкача айтканда каттоо же импорттоо процесси аны берген эмес. Экинчиси — кардар кайрылбаган сактагыч: колдонуучу деңгээлиндеги профиль колдонуучунун ачкычтар тобун карайт, ал эми система сактагычына коюлган элемент ага көрүнбөшү мүмкүн. Үчүнчүсү — максат же саясат шайкеш келбестиги, мында сертификат бар, бирок жайылтуу эрежелери боюнча кардардык аутентификация үчүн жарактуу эмес.
security find-identity -v -p ssl-clientБул система кардардык аутентификация үчүн жарактуу деп эсептеген инсандыктарды тизмелейт. Эгер саны нөл болсо, маселе VPN кардарынан жогору жана профилди оңдоо аны оңдобойт. Эгер инсандык бул жерде көрүнүп, кардарда көрүнбөсө, айырма кардардын сактагычында же аймагында.
Жеке ачкыч кайда жашайт жана ким аны колдоно алат
Keychain Access аркылуу инсандыкты импорттогондо, импорт диалогу максаттуу ачкычтар тобун сунуштайт. Кайсы максат туура экени кардарга жана профилдин колдонуучулук же түзмөктүк аймакта экенине жараша. Системалык ачкычтар тобун сунуш кылган эски жооп универсалдуу эреже эмес, жана сактагычтардын ортосунда элементтерди көчүрүү оңдоо эмес.
System Roots — ишеним жыйнагы. Ал жерге сертификат коюу системанын кайсы чыгаргандарга ишенерин өзгөртөт; ал жеке ачкыч жаратпайт жана инсандык сактагычы эмес. Тандоочусун толтуруу үчүн байланышсыз сертификаттарды жылдыруу машинаны туруктуу кеңейтилген ишеним жыйынтыгы менен калтырган оңдоо түрү.
Жеке ачкычка жетүү — өзүнчө көзөмөл. Ар бир колдонмого ачкычты колдонууга уруксат берүү бир кардардын тандоо маселесин чечет жана ошол эле мүмкүнчүлүктү машинадагы калган баарына берет. Аны муктаж болгон кардарга бериңиз жана ачкычтын аппараттык колдоосу барбы же экспорттолбойт деп белгиленгенби, ошону текшериңиз; эгер ошондой болсо, экспорттолгон көчүрмөнүн ордуна колдоого алынган провайдерди колдонуу керек.
Профиль күбөлүккө кантип шилтеме жасайт
Башкарылуучу жергиликтүү IKEv2 конфигурациясында профиль өзүнүн күбөлүк жүгүнө PayloadCertificateUUID аркылуу шилтеме жасайт. Маанилүүсү — шилтелген инсандык жана анын кантип берилгени; профилдеги көрсөтүлүүчү атты оңдоо туура эмес жүккө же ачкычты эч качан бербеген жүккө шилтеме кылган шилтемени оңдобойт.
Үчүнчү тараптын провайдери такыр башка тандоо механизмин колдонушу мүмкүн, мисалы өзүнүн сактагычын же системанын эскертүүсүн. Жергиликтүү профилдин божомолдорун көчүрүүнүн ордуна ошол провайдердин документтерин окуңуз жана шилтемени иш жүзүндө орнотулган профилде текшериңиз, башкаруу консолунун долбоорунда эмес.
Тандоо жана кабыл алуу — өзүнчө этаптар
Толтурулган тандоочу кардардын инсандыкты таап, колдоно аларын билдирет. Бул дарбаза аны кабыл алабы же жокпу, ал тууралуу эч нерсе айтпайт. Сервер дагы эле чыгарганды, жарактуулук терезесин, жокко чыгаруу статусун жана ошол күбөлүктүн эсепке салыштырылышын.
Эки этапты тең ачык түрдө, ошол тартипте текшериңиз. Инсандык сунушталарын ырастаңыз, туташыңыз, анан дарбазанын ээсинен кайсы күбөлүк берилгенин жана кайсы салыштыруу эрежеси аны колдонгонун ырастоосун сураңыз. Эгер кардар инсандык сунуштап, сервер аны четке какса, калган иш сервер тарапта. Mac ичинде сертификатты кайра орнотуу бул натыйжаны өзгөртпөйт, канча жолу кайталанса да.