IKEv2-Zertifikat um iPhone: manuell oder verwalt Registrierung

D'RSA ze wielen, well d'Zertifikatsgeschier vum Gateway et als Standard benotzt, ass eng Entscheedung, déi virun der wichteger Fro geholl gëtt: wéi ginn dës iPhoneë registréiert? Eng Verbindung, déi de Benotzer selwer antippt, an e Konfiguratiounsprofil, deen d'Verwaltung liwwert, bidden ënnerschiddlech Astellungen, a verschidden Zertifikatsoptiounen existéieren nëmmen op engem vun dëse Weeër. Setzt d'Reiefolleg richteg an de Zertifikatsplang gëtt kuerz; setzt se falsch an Dir stellt e Zertifikat aus, deen den Telefon net benotze wäert. Behandelt d'Schrëtt hei drënner als eng Sequenz, well jiddereen déi Méiglechkeeten ageschnäit, déi fir de nächsten do sinn.

Éischte Schrëtt: wielt de Registrierungswee

Manuell Astellung heescht, de Benotzer gëtt d'Serveradress an, wielt d'Authentifikatiounsmethod a liwwert all Berechtegung, déi d'Interface erlaabt. Verwalt Registrierung heescht, e Profil dréit d'Adress, d'Identifikatoren an eng Referenz op eng Berechtegungsnutzlaascht. De verwalt Wee kann Kombinatioune ausdrécken, déi den manuellen Écran net kann, dofir muss d'Zertifikatsentscheedung no dëser Wiel kommen an net virdrun.

Béid Weeër kënnen en Telefon authentifizéieren. Si ënnerscheede sech doran, wat Dir konfiguréiere kënnt a wien d'Identitéit besëtzt, also wielt bewosst ee Wee, amplaz e verwalt Profil mat manueller Berechtegungsagab ze vermëschen.

Zweet Schrëtt: wielt d'Algorithmen fir de Wee, deen Dir gewielt hutt

Fir manuell konfiguréiert iPhoneë recommandéieren dem strongSwan seng iOS-Interoperabilitéitsnotizen e RSA-Serverzertifikat, well de manuellen Client vläicht keen ECDSA-Serverzertifikat akzeptéiert; déi selwecht Notizen behandelen macOS getrennt. Liest dat als Uleedung fir dee gestäipte Clientsset, net als permanentes Gesetz iwwer Apple-Apparater. E verwalt Profil huet méi Plaz: et kann den Zertifikatstyp ausdrécklech wielen, ënner anerem eng ECDSA-Clientidentitéit, wann d'Nutzlaascht an de Gateway béid dat ënnerstëtzen.

Validéiert d'iOS-Versiounen, déi Dir tatsächlech ënnerstëtzt, ier Dir eppes ausrollt. En Labortelefon op der neister Versioun beschreift keng Flott, déi méi al Apparater enthält, an en Algorithmus, deen am Laboratoire funktionéiert, kann nach ëmmer um eelste Telefon am Feld feelen. Huelt de Versiounsberäich aus der Apparatverwaltung an net aus dem Gediechtnis. Wann d'Flott iwwer méi Versiounen geet, testt déi eelst fir d'éischt, well do ass d'manuell Interface am restriktiifsten.

Drëtte Schrëtt: liest d'Profilfelder als getrennt Saachen

Verschidde Schlësselen mat änlechem Numm beschreiwen ënnerschiddlech Objeten. D'Remoteadress ass de Host, deen den Telefon unrifft. Den Remote-Identifikator ass d'IKE-Identitéit, déi en erwaart, datt de Gateway se presentéiert. D'Zertifikatsreferenz vun der Nutzlaascht weist op eng Client-Berechtegung, an d'Feld vum Zertifikatstyp wielt den Typ, dee fir IKEv2-Maschinnenauthentifikatioun benotzt gëtt. Keent vun dësen ass den Ënnerschrëftsalgorithmus vun der CA, obwuel d'Wierder sech iwwerschneiden.

Dem Apple seng IKEv2-Nutzlaascht-Referenz listet RSA als Standard-Zertifikatstyp mat expliziten ECDSA-Varianten op, an et verbënnt de Schlëssel vum Aussteller an der Numm mat bestëmmten Authentifikatiounsastellungen. Liest déi Bezéiungen an der Referenz fir d'Method, déi Dir gewielt hutt, amplaz ee Schlëssel aus enger funktionéierender Deploiement ze kopéieren.

Véierte Schrëtt: passt d'Identitéit vum Gateway u säin Zertifikat un

Benotzt en ausdrécklechen Gatewaynumm, zum Beispill vpn.example.com a setzt e passenden alternativen Subjektnumm an den Serverzertifikat. Dem strongSwan seng Apple-Uleedung erwaart och déi erweidert Schlësselbenotzung fir Serverauthentifikatioun. D'Wiel tëscht RSA an ECDSA ännert dorun näischt: en Algorithmus kann eng Nummdiskrepanz, eng feelend EKU oder eng onvollstänneg Kette net reparéieren.

D'Verdeelung vum Vertrauensanker ass eng getrennt Aufgab vun der Bestätegung vun der Identitéit. Den Telefon brauch eng Zertifikatskette, déi en validéiere kann, an en muss esou konfiguréiert sinn, datt en den Numm erwaart, deen Dir tatsächlech an den Zertifikat gesat hutt.

Datt eng aner Plattform erfollegräich verbënnt, ass e Beweis iwwer d'Validéierungsregele vun där Plattform, net eng Erlaabnes, déi vum Telefon ze lockeren. Halt d'Iwwerpréiwungen identesch iwwer d'Clienten, ausser Dir hutt en dokumentéierte Grond fir ze ënnerscheeden.

Fënnefte Schrëtt: trennt d'Clientidentitéit vum CA-Vertrauen

E Clientzertifikat an säi private Schlëssel sinn net dee selwechten Objet wéi den CA-Zertifikat, deem den Telefon vertraut. En CA-Zertifikat an eng PKCS#12-Identitéit ze bündelen installéiert et net automatesch als Vertrauensanker op all ënnerstëtzten Apparat, also behandelt d'Vertrauensverdeelung als eege Schrëtt mat senger eegener Iwwerpréiwung.

Wann den Design amplaz EAP op Basis vu Passwierder benotzt, brauch den Telefon déi virgesinn Kontauthentifikatioun plus Servervalidéierung. Dee Wee riicht net, fir een gedeelte private Client-Schlëssel un déi ganz Flott ze schécken, wat en aneren Design mat engem vill méi schlechte Fehlermodus ass.

Fäerdeg de Plang mat Erneierung a Widderruff am Kapp: wien d'Client-Berechtegung nei ausstellt, wéi de Profil aktualiséiert gëtt a wéi en verluerenen Telefon ofgeschnidden gëtt. Registréiert d'Profilversioun an d'Apparatversiounen, géint déi Dir validéiert hutt, well dee Rekord mécht déi nächst Zertifikatsernoierung zu enger Routineännerung.