Mac IKEv2 ECDSA: kuris sertifikato tipas priklauso klientui?
„Mac“ sistemoje IKEv2 nustatymuose ECDSA256 apibūdina vietinį tapatybės sertifikatą, o ne šliuzą ar išdavėjo parašą. Prieš rinkdamiesi perskaitykite kiekvieną vaidmenį.
„macOS“ aplinkoje ECDSA pasirinkimas IKEv2 kliento nustatyme atsako į siaurą klausimą: kuris sertifikatas įrodo „Mac“ tapatybę. Jis neapibūdina šliuzo sertifikato, parašo, kuriuo išduotas kliento sertifikatas, ar tunelio šifravimo pasiūlymo. Šių keturių vaidmenų traktavimas kaip vieno suderinamumo klausimo lemia, kad teisingas vietinis nustatymas kaltinamas dėl serverio pusės neatitikimo. Sprendimas mažas, bet jį priimant naudojami įrodymai turi būti tikslūs.
Laukas įvardija vieną sertifikatą: vietinę tapatybę
„Apple“ Network Extension API suteikia sertifikato tipą kliento prisijungimo duomenims, įskaitant NEVPNIKEv2CertificateType.ECDSA256, dokumentuotą kaip ECDSA p-256 sertifikato tipas. Savybė taikoma sertifikatui, pateiktam per identityReference arba identityData.
Tai reiškia, kad sprendimas susijęs su sertifikatu, kurį „Mac“ pateikia, ir su juo susijusiu privačiu raktu. Pasirinkite tipą, atitinkantį to lapo sertifikato viešąjį raktą, ir pateikite tapatybę palaikomu mechanizmu. Jei „Mac“ neturi tapatybei tinkamo privataus rakto, tipo pasirinkimas ryšio neišgelbės.
Valdomi profiliai priima tą patį sprendimą per IKEv2 naudingosios apkrovos CertificateType kartu su sertifikato nuoroda, pavyzdžiui PayloadCertificateUUID. Šie laukai turi išankstines sąlygas ir schemą tikslinei OS versijai; į profilį nukopijuota plika tipo reikšmė neįdiegiama, o nustatymų langas gali nerodyti visų API parinkčių. Prieš diegdami patikrinkite tos versijos naudingosios apkrovos išankstines sąlygas.
Spręskite pagal vaidmenį, o ne pagal sertifikato etiketę
Perskaitykite lauką, kurį ketinate keisti, ir paklauskite, į kurį sertifikatą jis nurodo. Sertifikatų peržiūros etiketės maišo subjektą, išdavėją ir parašo algoritmą, ir tik vienas iš jų priklauso kliento tapatybės pasirinkimui.
| What you inspected | What it controls | Does it choose the Mac certificate type? |
|---|---|---|
| Client leaf public key | The identity the Mac presents | Yes, this is the field's subject |
| Issuer signature algorithm | How the client certificate was signed | No |
| Gateway certificate | What the Mac validates as the peer | No, check it separately |
| IKE and ESP proposals | Algorithms for the tunnel | No, separate proposal settings |
Jei sertifikatų peržiūra rodo CA ECDSA parašą, tai apibūdina išdavėjo pasirašymo raktą. Pats kliento raktas gali vis dar būti RSA, o tipo laukas turėtų sekti kliento raktą, o ne parašo eilutę. Ši viena painiava paaiškina daugelį pranešimų „ECDSA sukonfigūruotas, bet ryšys nepavyksta“. Prieš ką nors keisdami palyginkite lapo rakto tipą su profilyje pasirinktu tipu.
Sprendimas tampa paprastesnis, kai lapas identifikuotas: ECDSA256 p-256 kliento raktui, kitas palaikomas tipas kitam raktui. Jei kliento sertifikatas ir jo raktas nesutampa, sutvarkykite šią porą prieš keisdami VPN profilį.
Šliuzo sertifikatas yra atskiras sprendimas
Šliuzas pateikia savo sertifikatą, o „Mac“ jį tikrina pagal pasitikėjimo inkarą ir laukiamą pavadinimą. Ar tas sertifikatas naudoja ECDSA, RSA ar kitą rakto tipą, yra serverio savybė, o ne kliento tapatybės nustatymo.
Vietinis ECDSA kliento sertifikato palaikymas neįrodo, kad kiekvienas šliuzo sertifikatas, kreivė ar serverio autentifikavimo konfigūracija veiks kartu. Patikrinkite serverio tapatybę, jo grandinę ir IKE autentifikavimo metodą kaip atskirus įvestis ir bandykite su profiliu, kuris iš tikrųjų bus įdiegtas.
Jei problema yra šliuzo sertifikatas, simptomas paprastai pasireiškia tikrinant partnerį, o ne renkantis tapatybę. Perskaitykite gedimo etapą prieš keisdami kliento tipą, nes pasitikėjimo gedimas ir kliento rakto neatitikimas neturi bendro sprendimo.
Išdavėjo parašas ir raktų suderinimo grupė nėra kliento tipas
X.509 laiko subjekto viešąjį raktą ir išdavėjo parašą skirtinguose laukuose. Subjekto viešojo rakto informacija apibūdina sertifikate esantį raktą; parašo algoritmas apibūdina CA raktą ir pasirašymo operaciją. Tik pirmasis atitinka sertifikato tipo nustatymą.
IKE ir Child SA pasiūlymai yra kita ašis. ECDSA sertifikato tipas nėra ESP šifravimo pasirinkimas, o raktų suderinimo grupės keitimas nepasirenka sertifikato tipo. Profilis gali turėti galiojančius pasiūlymus ir neteisingą tapatybės tipą, arba teisingą tapatybės tipą ir pasiūlymą, kurį partneris atmeta.
Keitimo įraše laikykite tris eilutes atskirai: tapatybės sertifikatas ir raktas, šliuzo pasitikėjimo įvestys ir pasiūlymų algoritmai. Sujungus juos į vieną „kriptografijos nustatymų“ pastabą, kito gedimo priskirti nebepavyks.
Patikrinkite sprendimą su laukais, kuriuos sukonfigūravote
Patikrinkite tapatybę, į kurią profilis iš tikrųjų nurodo, tada patvirtinkite, kad tos nuorodos sertifikatas turi laukiamą viešąjį raktą ir tinkamą privatų raktą. Rodomas sąsajoje tipas, nurodytas sertifikatas ir įrenginio raktas turi sutapti.
Toliau patvirtinkite šliuzo įvestis: laukiamą serverio pavadinimą, pasitikėjimo inkarą ir IKE autentifikavimo metodą. Galiausiai prisijunkite ir perskaitykite, kur sustoja rankos paspaudimas. Gedimas prieš tapatybės mainus nutolina nuo šio nustatymo; gedimas tikrinant partnerį rodo į šliuzo pusę.
Įrašykite pasirinktą tipą, tapatybės nuorodą ir šliuzo sertifikato subjektą į diegimo pastabas. Kitas profilio atnaujinimas gali pakeisti bet kurį iš jų, o tris įvardytas reikšmes palyginti greičiau nei nustatymų srities ekrano kopiją.