IKEv2 sertifikāta iestatīšana iPhone: manuāla vai pārvaldīta reģistrācija

Izvēlēties RSA tikai tāpēc, ka vārtejas sertifikātu rīks to izmanto pēc noklusējuma, ir lēmums, kas pieņemts pirms jautājuma, kuram ir nozīme: kā šie iPhone tiks reģistrēti? Lietotāja ierakstīts savienojums un pārvaldības piegādāts konfigurācijas profils atklāj atšķirīgus iestatījumus, un dažas sertifikāta izvēles pastāv tikai vienā no šiem ceļiem. Ievietojiet secību pareizi, un sertifikāta plāns kļūst īss; kļūdieties, un jūs izsniegsit akreditācijas datus, ko tālrunis neizmantos. Uztveriet tālāk minētos soļus kā secību, jo katrs sašaurina nākamajam pieejamās izvēles.

Pirmais solis: izvēlieties reģistrācijas ceļu

Manuāla iestatīšana nozīmē, ka lietotājs ievada servera adresi, izvēlas autentifikācijas metodi un sniedz jebkurus akreditācijas datus, ko atļauj saskarne. Pārvaldīta reģistrācija nozīmē, ka profils nes adresi, identifikatorus un atsauci uz akreditācijas datu kravu. Pārvaldītais ceļš var izteikt kombinācijas, ko manuālais ekrāns nevar, tāpēc sertifikāta lēmumam jānāk pēc šīs izvēles, nevis pirms tās.

Abi ceļi var autentificēt tālruni. Tie atšķiras ar to, ko var konfigurēt, un ar to, kam pieder identitāte, tāpēc apzināti izvēlieties vienu, nevis jauciet pārvaldītu profilu ar manuālu akreditācijas datu ievadi.

Otrais solis: izvēlieties algoritmus izvēlētajam ceļam

Manuāli konfigurētiem iPhone strongSwan iOS savietojamības piezīmes iesaka RSA servera sertifikātu, jo manuālais klients var nepieņemt ECDSA servera sertifikātu; tās pašas piezīmes macOS aplūko atsevišķi. Lasiet to kā norādi atbalstītajai klientu kopai, nevis kā pastāvīgu likumu par Apple ierīcēm. Pārvaldītam profilam ir vairāk vietas: tas var skaidri izvēlēties sertifikāta tipu, tostarp ECDSA klienta identitāti, ja krava un vārteja abas to atbalsta.

Pirms kaut ko izvietot, validējiet tās iOS versijas, kuras jūs patiešām atbalstāt. Laboratorijas tālrunis ar jaunāko laidienu neapraksta parku, kas ietver vecākas ierīces, un laboratorijā strādājošs algoritms tomēr var neizdoties lauka vecākajā tālrunī. Versiju diapazonu ņemiet no ierīču pārvaldības, nevis no atmiņas. Ja parks aptver vairākus laidienus, vispirms pārbaudiet vecāko, jo tieši tur manuālā saskarne ir visierobežotākā.

Trešais solis: lasiet profila laukus kā atsevišķas lietas

Vairākas līdzīgi nosauktas atslēgas apraksta dažādus objektus. Attālā adrese ir resursdators, uz kuru tālrunis zvana. Attālais identifikators ir IKE identitāte, ko tas gaida, ka vārteja uzrādīs. Kravas sertifikāta atsauce norāda uz klienta akreditācijas datiem, un sertifikāta tipa lauks izvēlas tipu, ko izmanto IKEv2 mašīnas autentifikācijai. Neviens no tiem nav CA paraksta algoritms, lai gan vārdi pārklājas.

Apple IKEv2 kravas atsauce uzskaita RSA kā noklusējuma sertifikāta tipu ar skaidriem ECDSA variantiem, un tā saista izdevēja nosaukuma atslēgu ar konkrētiem autentifikācijas iestatījumiem. Lasiet šīs attiecības izvēlētās metodes atsaucē, nevis kopējiet vienu atslēgu no strādājošas izvietošanas.

Ceturtais solis: saskaņojiet vārtejas identitāti ar tās sertifikātu

Izmantojiet skaidru vārtejas nosaukumu, piemēram, vpn.example.com un ievietojiet atbilstošu alternatīvo subjekta nosaukumu servera sertifikātā. strongSwan Apple norādes sagaida arī paplašinātu atslēgas lietojumu servera autentifikācijai. RSA vai ECDSA izvēle neko no tā nemaina: algoritms nevar salabot nosaukuma neatbilstību, trūkstošu EKU vai nepilnīgu ķēdi.

Uzticības enkura izplatīšana ir atsevišķs uzdevums no identitātes apliecināšanas. Tālrunim ir vajadzīga sertifikātu ķēde, ko tas var validēt, un tas ir jākonfigurē, lai gaidītu to nosaukumu, ko jūs faktiski ievietojāt sertifikātā.

Tas, ka cita platforma veiksmīgi savienojas, ir pierādījums par šīs platformas validācijas noteikumiem, nevis atļauja mīkstināt tālruņa noteikumus. Turiet pārbaudes identiskas starp klientiem, ja vien jums nav dokumentēta iemesla atšķirties.

Piektais solis: atdaliet klienta identitāti no CA uzticības

Klienta sertifikāts un tā privātā atslēga nav tas pats objekts, kas CA sertifikāts, kuram tālrunis uzticas. CA sertifikāta iekļaušana PKCS#12 identitātē to automātiski neinstalē kā uzticības enkuru katrā atbalstītajā ierīcē, tāpēc uztveriet uzticības izplatīšanu kā atsevišķu soli ar savu pārbaudi.

Ja dizains tā vietā izmanto uz paroli balstītu EAP, tālrunim ir vajadzīga paredzētā konta autentifikācija un servera validācija. Šis ceļš neattaisno viena kopīga klienta privātās atslēgas nosūtīšanu visam parkam, kas ir cits dizains ar daudz sliktāku kļūmes režīmu.

Pabeidziet plānu, domājot par atjaunošanu un atsaukšanu: kas atkārtoti izsniedz klienta akreditācijas datus, kā tiek atjaunināts profils un kā tiek atslēgts pazaudēts tālrunis. Pierakstiet profila versiju un ierīču versijas, pret kurām validējāt, jo tieši šis ieraksts padara nākamo sertifikāta maiņu par parastu darbu.