Mac IKEv2 ECDSA: wéi eng Zertifikatsaart gehéiert zum Client?
Op engem Mac beschreift ECDSA256 an den IKEv2-Astellungen de lokalen Identitéitszertifikaat, net de Gateway oder d'Signatur vum Aussteller. Liest all Roll, ier Dir wielt.
Op macOS beäntwert d'ECDSA-Wiel an enger IKEv2-Clientastellung eng schmuel Fro: wéi en Zertifikaat d'Identitéit vum Mac beweist. Et beschreift net de Gateway-Zertifikaat, d'Signatur déi de Clientzertifikaat ausgestallt huet, oder de Verschlësselungsvirschlag fir den Tunnel. Dës véier Rolle wéi eng eenzeg Kompatibilitéitsfro ze behandelen ass de Wee wéi eng korrekt lokal Astellung fir eng Ofwäichung op der Serversäit verantwortlech gemaach gëtt. D'Entscheedung ass kleng, awer d'Beweiser déi dofir benotzt ginn mussen prezis sinn.
D'Feld benennt een Zertifikaat: déi lokal Identitéit
Dem Apple seng Network Extension API bitt en Zertifikatstyp fir de Client-Credential, dorënner NEVPNIKEv2CertificateType.ECDSA256, dokumentéiert als Zertifikatstyp ECDSA p-256. D'Eegeschaft gëllt fir den Zertifikaat, deen iwwer identityReference oder identityData geliwwert gëtt.
Dat heescht d'Entscheedung geet ëm den Zertifikaat, deen de Mac presentéiert, plus de privaten Schlëssel deen dozou gehéiert. Wielt den Typ deen zum ëffentleche Schlëssel vun deem Blat-Zertifikaat passt a liwwert d'Identitéit iwwer dee ënnerstëtzte Mechanismus. Wann de Mac kee brauchbare private Schlëssel fir d'Identitéit huet, kann d'Typwiel d'Verbindung net retten.
Gestiirte Profiler huelen déi selwecht Entscheedung iwwer CertificateType vun der IKEv2-Nutzlaascht, gepaart mat enger Zertifikatsreferenz wéi PayloadCertificateUUID. Dës Felder hunn Viraussetzungen an e Schema fir d'Ziel-Betribssystemversioun; en nackte Typwäert deen an e Profil kopéiert gëtt ass net installéierbar, an eng Astellungsfënster weist vläicht net all API-Optioun. Kontrolléiert d'Viraussetzunge vun der Nutzlaascht fir déi Versioun virum Asaz.
Entscheet no Roll, net no dem Zertifikatslabel
Liest d'Feld dat Dir wëllt änneren a freet op wéi en Zertifikaat et weist. D'Labels an engem Zertifikatsbetrachter vermëschen den Sujet, den Aussteller an den Signaturalgorithmus, a just een dovu gehéiert zur Wiel vun der Clientidentitéit.
| What you inspected | What it controls | Does it choose the Mac certificate type? |
|---|---|---|
| Client leaf public key | The identity the Mac presents | Yes, this is the field's subject |
| Issuer signature algorithm | How the client certificate was signed | No |
| Gateway certificate | What the Mac validates as the peer | No, check it separately |
| IKE and ESP proposals | Algorithms for the tunnel | No, separate proposal settings |
Wann de Zertifikatsbetrachter eng ECDSA-Signatur vun der CA weist, beschreift dat de Signaturschlëssel vum Aussteller. De Schlëssel vum Client selwer kann nach ëmmer RSA sinn, an d'Typfeld sollt dem Client sengem Schlëssel follegen an net der Signaturlinn. Dës eenzeg Verwiesslung erkläert vill Meldungen "ECDSA ass konfiguréiert awer d'Verbindung schléift feel". Vergläicht den Schlësseltyp am Blat mam Typ deen am Profil gewielt gouf ier Dir eppes ännert.
D'Entscheedung gëtt méi einfach wann d'Blat identifizéiert ass: ECDSA256 fir e p-256 Client-Schlëssel, en aneren ënnerstëtzten Typ fir en anere Schlëssel. Wann de Clientzertifikaat an säi Schlëssel net passen, fléckt dëst Puer ier Dir de VPN-Profil ännert.
De Gateway-Zertifikaat ass eng eege Entscheedung
De Gateway presentéiert säin eegenen Zertifikaat an de Mac validéiert en géint en Trauensanker an en erwaarten Numm. Ob deen Zertifikaat ECDSA, RSA oder en aneren Schlësseltyp benotzt ass eng Eegeschaft vum Server, net vun der Astellung fir d'Clientidentitéit.
Lokal Ënnerstëtzung fir en ECDSA-Clientzertifikaat beweist net datt all Gateway-Zertifikaat, Kurb oder Serverauthentifikatiounskonfiguratioun zesumme funktionéiert. Kontrolléiert d'Identitéit vum Server, seng Kette a seng IKE-Authentifikatiounsmethod als getrennt Inputen, a testt mam Profil deen tatsächlech agesat gëtt.
Wann de Gateway-Zertifikaat de Problem ass, erschéngt de Symptom meeschtens bei der Validatioun vum Peer an net bei der Identitéitswiel. Liest d'Feelstadium ier Dir den Typ vum Client ännert, well e Vertrauensfeeler an eng Ofwäichung vum Client-Schlëssel net déi selwecht Léisung hunn.
D'Signatur vum Aussteller an d'Schlësselofkommesgrupp sinn net den Typ vum Client
X.509 hält den ëffentleche Schlëssel vum Sujet an d'Signatur vum Aussteller an ënnerschiddleche Felder. D'ëffentlech Schlësselinformatioun vum Sujet beschreift de Schlëssel am Zertifikaat; den Signaturalgorithmus beschreift de Schlëssel vun der CA an de Signaturopgang. Just deen éischte passt zur Astellung vum Zertifikatstyp.
D'IKE- an Child SA-Virschléi sinn eng aner Achs. En ECDSA-Zertifikatstyp ass keng ESP-Verschlësselungswiel, an d'Ännere vun der Schlësselofkommesgrupp wielt keen Zertifikatstyp. E Profil kann gülteg Virschléi an de falschen Identitéitstyp hunn, oder den richtegen Identitéitstyp an e Virschlag deen de Peer refuséiert.
Halt déi dräi Linnen am Ännerungsprotokoll getrennt: Identitéitszertifikaat a Schlëssel, Trauensinpute vum Gateway, an d'Algorithmen vun de Virschléi. Si an enger Notiz "Krypto-Astellungen" zesummenzefaasse mécht de nächste Feeler net zouuerdbar.
Iwwerpréift d'Entscheedung mat de Felder, déi Dir konfiguréiert hutt
Kontrolléiert d'Identitéit op déi de Profil tatsächlech verweist, a bestätegt dann datt den Zertifikaat op där Referenz den erwaarten ëffentleche Schlëssel an e brauchbare private Schlëssel huet. Den Typ deen an der Interface gewise gëtt, den referenzéierten Zertifikaat an de Schlëssel um Apparat mussen iwwerenee stëmmen.
Bestätegt duerno d'Inpute vum Gateway: den erwaarten Numm vum Server, den Trauensanker an d'IKE-Authentifikatiounsmethod. Als lescht verbënnt Iech a liest wou den Handshake stoppt. E Feeler virum Identitéitsaustausch weist ewech vun dëser Astellung; e Feeler bei der Validatioun vum Peer weist op d'Gateway-Säit.
Notéiert den gewielten Typ, d'Identitéitsreferenz an de Sujet vum Gateway-Zertifikaat an den Asaznotizen. Déi nächst Profilaktualiséierung kann jiddwerengen dovun änneren, an dräi benannt Wäerter vergläiche sech méi séier wéi en Screenshot vun engem Astellungspanel.