Mac VPN sertifikatas: kodėl tapatybės parinkiklis lieka tuščias
Klientui reikia sertifikato su privačiuoju raktu, tokioje saugykloje, kurią jis skaito. Pirmiausia patikrinkite tapatybę, tada ar šliuzas ją priima.
Įdiegėte sertifikatą, jis rodomas Keychain Access su draugišku pavadinimu, o VPN kliento tapatybės parinkiklis vis dar tuščias. Klientas neieško sertifikato. Jis ieško tapatybės: sertifikato, suporuoto su privačiuoju raktu, galinčio įrodyti valdymą, saugomo ten, kur klientui leidžiama jį skaityti.
To, ko prašo klientas, yra tapatybė
Apple saugos sistema sertifikatą ir tapatybę traktuoja kaip skirtingus objektus. Sertifikatas yra vieši duomenys. Tapatybė yra tas sertifikatas kartu su privačiuoju raktu, ir tik tapatybė gali įveikti iššūkį. Patikimas CA sertifikatas, kita vertus, leidžia klientui įvertinti išdavėją; jis nepadaro mašinos išduoto kliento kredencialo turėtoja.
| Item | What it can do | What it cannot do |
|---|---|---|
| CA or server certificate | Validate the gateway's chain | Authenticate this client |
| Client certificate without key | Nothing for authentication | Prove possession of anything |
| Identity (cert plus key) | Answer the authentication challenge | Guarantee the gateway accepts it |
Todėl importuojant .cer failą niekada nesukuriama naudojama kliento tapatybė. Faile yra tik vieša medžiaga, ir joks pervadinimas ar pasitikėjimas nepaverčia jo raktų pora.
Trys priežastys, kodėl parinkiklis lieka tuščias
Pirmoji yra trūkstamas privatusis raktas, tai reiškia, kad registracijos ar importo procesas jo nepateikė. Antroji yra saugykla, kurios klientas netikrina: naudotojo lygmens profilis ieško naudotojo raktinėje, o sistemos saugykloje padėtas elementas jam gali būti nematomas. Trečioji yra paskirties ar politikos neatitikimas, kai sertifikatas egzistuoja, bet pagal diegimo taisykles negalioja kliento autentifikacijai.
security find-identity -v -p ssl-clientTai išvardija tapatybes, kurias sistema laiko galiojančiomis kliento autentifikacijai. Jei skaičius nulis, problema yra aukščiau VPN kliento ir joks profilio redagavimas jos nepataisys. Jei tapatybė rodoma čia, bet ne kliente, skirtumas yra kliento saugykloje arba apimtyje.
Kur gyvena privatusis raktas ir kas gali juo naudotis
Kai importuojate tapatybę per Keychain Access, importo dialogas siūlo paskirties raktinę. Kuri paskirtis teisinga, priklauso nuo kliento ir nuo to, ar profilis yra naudotojo, ar įrenginio apimties. Senas atsakymas, rekomenduojantis sistemos raktinę, nėra universali taisyklė, o elementų kopijavimas tarp saugyklų nėra taisymas.
System Roots yra pasitikėjimo rinkinys. Įdėjus ten sertifikatą pasikeičia, kuriais išdavėjais sistema pasitiki; tai nesukuria privataus rakto ir nėra tapatybių saugykla. Nesusijusių sertifikatų perkėlimas siekiant užpildyti parinkiklį yra toks taisymas, po kurio mašina lieka su visam laikui išplėstu pasitikėjimo rinkiniu.
Prieiga prie privataus rakto yra atskira kontrolė. Suteikti kiekvienai programai leidimą naudoti raktą išsprendžia vieno kliento pasirinkimo problemą ir suteikia tą pačią galimybę viskam kitam mašinoje. Suteikite jį klientui, kuriam jo reikia, ir patikrinkite, ar raktas pagrįstas aparatine įranga, ar pažymėtas kaip neeksportuojamas; jei taip, reikia naudoti palaikomą tiekėją, o ne eksportuotą kopiją.
Kaip profilis nurodo kredencialą
Valdomoje natyvioje IKEv2 konfigūracijoje profilis nurodo savo kredencialo turinį per PayloadCertificateUUID. Svarbu nurodyta tapatybė ir tai, kaip ji buvo suteikta; rodomo vardo redagavimas profilyje nesutaiso nuorodos, kuri rodo į neteisingą turinį arba į tokį, kuris niekada nepateikė rakto.
Trečiosios šalies tiekėjas gali naudoti visiškai kitą pasirinkimo mechanizmą, pavyzdžiui, savo saugyklą ar sistemos raginimą. Skaitykite to tiekėjo dokumentaciją, o ne perkelkite natyvaus profilio prielaidas, ir patikrinkite nuorodą profilyje, kuris iš tikrųjų įdiegtas, o ne administravimo konsolės juodraštyje.
Pasirinkimas ir priėmimas yra atskiri etapai
Užpildytas parinkiklis reiškia, kad klientas gali rasti ir naudoti tapatybę. Tai nieko nesako apie tai, ar šliuzas ją priims. Serveris vis dar tikrina išdavėją, galiojimo laikotarpį, atšaukimo būseną ir to kredencialo susiejimą su paskyra.
Tikrinkite abu etapus aiškiai, ta tvarka. Patvirtinkite, kad tapatybė siūloma, prisijunkite, tada paprašykite šliuzo savininko patvirtinti, kuris kredencialas buvo pateiktas ir kuri susiejimo taisyklė jį sunaudojo. Jei klientas siūlo tapatybę, o serveris ją atmeta, likęs darbas yra serverio pusėje. Sertifikato perdiegimas Mac kompiuteryje to rezultato nepakeis, kad ir kiek kartų būtų kartojama.