Mac VPN-Zertifikat: firwat de Identitéitsauswieler eidel bleift
Den Client brauch en Zertifikat mat sengem private Schlëssel, an engem Späicher, deen en liest. Préift d’éischt d’Identitéit, duerno ob de Gateway se akzeptéiert.
Dir hutt den Zertifikat installéiert, en erschéngt am Keychain Access mat engem frëndlechen Numm, an den Identitéitsauswieler vum VPN-Client ass nach ëmmer eidel. Den Client sicht keen Zertifikat. En sicht eng Identitéit: en Zertifikat, dat mam private Schlëssel gekoppelt ass a säin Halt ka beweisen, gespäichert do, wou den Client et liese kann.
Wat den Client freet, ass eng Identitéit
D'Sécherheetsframework vun Apple behandelt en Zertifikat an eng Identitéit als verschidden Objeten. En Zertifikat ass ëffentlech Daten. Eng Identitéit ass deen Zertifikat zesumme mat sengem private Schlëssel, a just d'Identitéit kann eng Erausfuerderung ofschléissen. En vertrauten CA-Zertifikat erlaabt et engem Client, en Emittent ze bewäerten; et mécht d'Maschinn net zum Besëtzer vun enger ausgestallter Client-Berechtegung.
| Item | What it can do | What it cannot do |
|---|---|---|
| CA or server certificate | Validate the gateway's chain | Authenticate this client |
| Client certificate without key | Nothing for authentication | Prove possession of anything |
| Identity (cert plus key) | Answer the authentication challenge | Guarantee the gateway accepts it |
Dofir produzéiert d'Importéiere vun enger .cer-Datei ni eng brauchbar Client-Identitéit. D'Datei dréit just ëffentlecht Material, a weder Ëmbenenne nach Vertrauen mécht doraus e Schlësselpaar.
Dräi Grënn, firwat den Auswieler eidel bleift
Den éischten ass e fehlende private Schlëssel, wat heescht, datt den Aschreiwungs- oder Importprozess keen geliwwert huet. Den zweeten ass en Späicher, deen den Client net consultéiert: e Profil op Benotzerniveau kuckt an de Schlësselbud vum Benotzer, an en Element, dat an engem Systemspäicher läit, kann him onsichtbar sinn. Den drëtten ass eng Zweck- oder Richtlinnendiskrepanz, wou den Zertifikat existéiert, awer net gëlteg fir Client-Authentifikatioun ënner de Reegele vum Deployment ass.
security find-identity -v -p ssl-clientDëst lëscht d'Identitéiten op, déi de System als gëlteg fir Client-Authentifikatioun consideréiert. Wann d'Zuel null ass, läit de Problem virum VPN-Client a keng Profilännerung wäert en fixéieren. Wann d'Identitéit hei erschéngt awer net am Client, ass den Ënnerscheed am Späicher oder am Ëmfang vum Client.
Wou de private Schlëssel läit, a wien en däerf benotzen
Wann Dir eng Identitéit iwwer Keychain Access importéiert, bitt den Importdialog e Zil-Schlësselbud un. Wéi en Zil richteg ass, hänkt vum Client a dovun of, ob de Profil op Benotzer- oder Apparatniveau ass. Eng al Äntwert, déi de Systemschlësselbud empfielt, ass keng universell Regel, an d'Kopéiere vun Elementer tëscht Späicher ass keng Reparatur.
System Roots ass eng Vertrauenskollektioun. En Zertifikat do dropzesetzen ännert, wéi eng Emittente de System vertraut; et schaaft keen private Schlëssel, an et ass keen Identitéitsspäicher. Onverbonnen Zertifikater ronderëm ze réckelen, fir en Auswieler ze fëllen, ass déi Zort Fix, déi eng Maschinn mat engem permanent erweiderten Vertrauensset hannerlässt.
Den Zougrëff op de private Schlëssel ass eng separat Kontroll. All Applikatioun d'Erlaabnes ginn, de Schlëssel ze benotzen léist de Selektiounsproblem vun engem Client a gëtt déiselwecht Capacitéit allem aneren op der Maschinn. Gitt se dem Client, deen se brauch, a préift, ob de Schlëssel hardwaregestëtzt oder als net exportéierbar markéiert ass; wann jo, muss dee supportéierte Provider benotzt ginn anstatt en exportéierte Kopie.
Wéi de Profil op d'Berechtegung weist
An enger verwaltener natives IKEv2-Konfiguratioun verweist de Profil iwwer PayloadCertificateUUID op seng Berechtegungsnotzlaascht. Wat zielt, ass d'Identitéit op déi verwisen gëtt an d'Manéier wéi se bereetgestallt gouf; en Affichagenumm am Profil z'änneren reparéiert keng Referenz, déi op déi falsch Notzlaascht oder op eng weist, déi ni e Schlëssel geliwwert huet.
En Drëttpartei-Provider kann e komplett anere Selektiounsmechanismus benotzen, wéi säin eegene Späicher oder eng Systemauffuerderung. Liest d'Dokumentatioun vun deem Provider, amplaz d'Annahmen vum native Profil z'iwwerdroen, a verifizéiert d'Referenz am Profil, dee tatsächlech installéiert ass, net an deem vum Entworf an der Verwaltungskonsole.
Selektioun an Akzeptanz sinn zwee getrennt Etappen
En gefëllten Auswieler heescht, datt den Client eng Identitéit ka fannen a benotzen. Et seet näischt doriwwer, ob de Gateway se akzeptéiert. De Server préift nach ëmmer den Emittent, d'Gëltegkeetsfënster, de Widderruffstatus an d'Mapping vun där Berechtegung op e Kont.
Test béid Etappen explizit, an där Reihenfolleg. Bestätegt, datt d'Identitéit ugebueden gëtt, verbënnt, a froen dann de Besëtzer vum Gateway, ze bestätegen, wéi eng Berechtegung presentéiert gouf a wéi eng Mappingregel se konsuméiert huet. Wann de Client eng Identitéit ubitt an de Server se refuséiert, läit déi reschtlech Aarbecht op der Serversäit. Den Zertifikat op dem Mac nei z'installéieren ännert dat Resultat net, wéi oft et och widderholl gëtt.