Mac VPN sertifikatas: kurią paskyrą mato šliuzas?

Profilyje rodomas jūsų vardas, matoma sertifikato etiketė sako ką kita, o šliuzo žurnale įrašomas trečiasis identifikatorius. Nė vienas jų nemeluoja, ir būtent tai yra problema: trys skirtingi laukai skaitomi taip, tarsi atsakytų į vieną klausimą. Ryšys pateikia prisijungimo duomenis, IKEv2 identifikatorių ir paskyrą, o šliuzas nusprendžia, kuris iš jų ką įgalina.

Trys tapatybės viename ryšyje

Matomas profilio vardas yra etiketė žmonėms. Jis pasirenka ryšį ir nieko daugiau. Sertifikatas yra prisijungimo duomenys, o ar jis gali ką nors įrodyti, priklauso nuo to, ar klientas turi atitinkamą privatų raktą. Paskyros laukas yra teiginys apie pagrindinį subjektą, o serveris gali laisvai jį susieti su kita vietine tapatybe.

Kai autentifikavimas nepavyksta, paklauskite, kurio iš trijų klaida susijusi. Atmesti prisijungimo duomenys, nežinomas identifikatorius ir išjungta paskyra sukuria skirtingus pranešimus, o traktuojant juos kaip vieną „sertifikato problemą“ nukreipiama į ne tą konsolę.

Skaitykite vietinius laukus pagal jų paskirtį

Valdomoje vietinėje IKEv2 konfigūracijoje „Apple“ naudingosios apkrovos nuoroda atskiria reikšmes, o autentifikavimo metodas nusprendžia, kuris derinys būtinas:

Sertifikatas ir EAP prisijungimas tame pačiame ryšyje gali turėti skirtingus vaidmenis. Neverskite kiekvieno lauko laikyti to paties teksto vien todėl, kad vienas iš jų taip daro, ir nemanome, kad pakeitus vieną panaikinami kiti. Trečiosios šalies VPN programėlė gali rodyti visiškai kitą modelį; naudokite jos dokumentuotą tapatybės pasirinkimą, o ne perkelkite į ją vietinius laukų pavadinimus.

Serverio sertifikatas nėra kliento tapatybė

Sertifikatas, kuris patvirtina šliuzą, yra pasitikėjimo inkaras. Jis įrodo, kad pasiekėte lauktą serverį. Kliento tapatybė yra kitas objektas: ji apima prieigą prie privataus rakto, kuris įrodo, kad jungianti pusė yra ta, kuria ji prisistato. Pervadinimas matomos paskyros negali vieno paversti kitu.

Čia geranoriška pataisa nueina ne taip. Šliuzo CA sertifikato importavimas į kliento saugyklą nieko neduoda kliento autentifikavimui, o to įrašo žymėjimas vartotojo vardu nepaverčia jo vartotojo tapatybe. Du objektai gyvena skirtingose profilio dalyse ir atsako į skirtingus klausimus.

Sekite pagrindinį subjektą iki šliuzo susiejimo

Patvirtinkite, kam prisijungimo duomenys buvo išduoti: šiam vartotojui, šiam įrenginiui ar bendram vaidmeniui. „Mac“ prisijungimo paskyra nėra automatiškai tas pagrindinis subjektas, o sertifikatas, nukopijuotas iš kitos mašinos, išlaiko mašinos, kuriai jis buvo išduotas, tapatybę.

Tada palyginkite tikruosius prisijungimo duomenis, o ne etiketę. Išdavėjas, serijos numeris ir piršto atspaudas leidžia jums ir administratoriui patvirtinti, kad kalbate apie tą patį objektą. Rodomi vardai yra redaguojami ir dažnai dubliuojami, todėl incidento metu jie tampa blogiausiu įmanomu identifikatoriumi.

Paskutinis žingsnis yra šliuze. Paprašykite jo savininko susieti vieną ryšį su pateiktais identifikatoriais ir paskyros susiejimo taisykle, kuri juos sunaudojo. Kliento pusės etiketė negali nustatyti, ką nusprendė serveris, o taisyklė, kuri susieja sertifikatą su išjungta paskyra, žlugs, nors visi kliento pusės laukai atrodo teisingi.

Pataisykite sluoksnį, kuriam priklauso šis neatitikimas

Jei profilis rodo netinkamus prisijungimo duomenis, ištaisykite jo nuorodą arba pasirinkimą. Jei prisijungimo duomenys priklauso kitam pagrindiniam subjektui, pereikite išdavėjo pakartotinę registraciją, o ne redaguokite etiketes. Jei šliuzas susieja galiojančius prisijungimo duomenis su netinkama paskyra, jo politikos savininkas turi ištaisyti susiejimą. Tai trys skirtingi pakeitimai su trimis skirtingais tvirtintojais.

Atnaujinimas nusipelno tokio pat dėmesio. Sertifikato pakeitimas, jo matomos etiketės pervadinimas ir asmens perkėlimas tarp paskyrų sistemų nebūtinai vienodai paveikia susiejimą. Užrašykite, kurį iš trijų pakeitėte, nes kitas gedimas iš kliento pusės atrodys identiškas, o šliuzo žurnale – kitaip.

Bendrinkite tik minimalius viešuosius identifikatorius, kurių reikia pagalbos tarnybai. Privatus raktas ar visas tapatybės paketas niekada nėra to mainų dalis, kad ir kiek tai palengvintų diagnostiką.