Mac IKEv2 ECDSA: kurš sertifikāta tips pieder klientam?
Mac datorā IKEv2 iestatījumos ECDSA256 apraksta vietējo identitātes sertifikātu, nevis vārteju vai izdevēja parakstu. Pirms izvēles izlasiet katru lomu.
MacOS vidē ECDSA izvēle IKEv2 klienta iestatījumā atbild uz šauru jautājumu: kurš sertifikāts pierāda Mac identitāti. Tā neapraksta vārtejas sertifikātu, parakstu, ar kuru izdots klienta sertifikāts, vai tuneļa šifrēšanas piedāvājumu. Šo četru lomu uztveršana kā viens savietojamības jautājums ir iemesls, kāpēc pareizs vietējais iestatījums tiek vainots servera puses neatbilstībā. Lēmums ir mazs, bet tā pieņemšanai izmantotajiem pierādījumiem jābūt precīziem.
Lauks nosauc vienu sertifikātu: vietējo identitāti
Apple Network Extension API piedāvā sertifikāta tipu klienta akreditācijas datiem, tostarp NEVPNIKEv2CertificateType.ECDSA256, kas dokumentēts kā ECDSA p-256 sertifikāta tips. Īpašība attiecas uz sertifikātu, kas nodrošināts ar identityReference vai identityData starpniecību.
Tas nozīmē, ka lēmums attiecas uz sertifikātu, ko Mac uzrāda, un tam pievienoto privāto atslēgu. Izvēlieties tipu, kas atbilst šī lapas sertifikāta publiskajai atslēgai, un nodrošiniet identitāti ar atbalstīto mehānismu. Ja Mac nav derīgas privātās atslēgas identitātei, tipa izvēle savienojumu neglābs.
Pārvaldītie profili pieņem to pašu lēmumu, izmantojot IKEv2 lietderīgās kravas CertificateType kopā ar sertifikāta atsauci, piemēram, PayloadCertificateUUID. Šiem laukiem ir priekšnosacījumi un shēma mērķa OS versijai; profilā iekopēta kaila tipa vērtība nav instalējama, un iestatījumu logs var nenorādīt katru API opciju. Pirms izvietošanas pārbaudiet kravas priekšnosacījumus šai versijai.
Izlemiet pēc lomas, nevis pēc sertifikāta birces
Izlasiet lauku, kuru gatavojaties mainīt, un pajautājiet, uz kuru sertifikātu tas norāda. Sertifikātu skatītāja birces sajauc subjektu, izdevēju un paraksta algoritmu, un tikai viena no tām attiecas uz klienta identitātes izvēli.
| What you inspected | What it controls | Does it choose the Mac certificate type? |
|---|---|---|
| Client leaf public key | The identity the Mac presents | Yes, this is the field's subject |
| Issuer signature algorithm | How the client certificate was signed | No |
| Gateway certificate | What the Mac validates as the peer | No, check it separately |
| IKE and ESP proposals | Algorithms for the tunnel | No, separate proposal settings |
Ja sertifikātu skatītājs rāda CA ECDSA parakstu, tas apraksta izdevēja parakstīšanas atslēgu. Paša klienta atslēga joprojām var būt RSA, un tipa laukam jāseko klienta atslēgai, nevis paraksta rindai. Šī viena neskaidrība izskaidro daudzus ziņojumus "ECDSA ir konfigurēts, bet savienojums neizdodas". Pirms kaut ko mainīt, salīdziniet lapas atslēgas tipu ar profilā izvēlēto tipu.
Lēmums kļūst vienkāršāks, kad lapa ir identificēta: ECDSA256 p-256 klienta atslēgai, cits atbalstīts tips citai atslēgai. Ja klienta sertifikāts un tā atslēga nesakrīt, izlabojiet šo pāri pirms VPN profila maiņas.
Vārtejas sertifikāts ir atsevišķs lēmums
Vārteja uzrāda savu sertifikātu, un Mac to validē pret uzticības enkuru un gaidīto nosaukumu. Tas, vai šis sertifikāts izmanto ECDSA, RSA vai citu atslēgas tipu, ir servera īpašība, nevis klienta identitātes iestatījuma.
Vietējais atbalsts ECDSA klienta sertifikātam nepierāda, ka katrs vārtejas sertifikāts, līkne vai servera autentifikācijas konfigurācija savstarpēji darbosies. Pārbaudiet servera identitāti, tā ķēdi un IKE autentifikācijas metodi kā atsevišķas ievades un testējiet ar profilu, kas faktiski tiks izvietots.
Ja problēma ir vārtejas sertifikāts, simptoms parasti parādās partnera validācijas laikā, nevis identitātes izvēlē. Izlasiet kļūmes posmu pirms klienta tipa maiņas, jo uzticības kļūmei un klienta atslēgas neatbilstībai nav viena risinājuma.
Izdevēja paraksts un atslēgu vienošanās grupa nav klienta tips
X.509 glabā subjekta publisko atslēgu un izdevēja parakstu dažādos laukos. Subjekta publiskās atslēgas informācija apraksta sertifikātā esošo atslēgu; paraksta algoritms apraksta CA atslēgu un parakstīšanas darbību. Tikai pirmais atbilst sertifikāta tipa iestatījumam.
IKE un Child SA piedāvājumi ir cita ass. ECDSA sertifikāta tips nav ESP šifrēšanas izvēle, un atslēgu vienošanās grupas maiņa neizvēlas sertifikāta tipu. Profilā var būt derīgi piedāvājumi un nepareizs identitātes tips, vai pareizs identitātes tips un piedāvājums, ko partneris noraida.
Izmaiņu žurnālā turiet trīs rindas atsevišķi: identitātes sertifikāts un atslēga, vārtejas uzticības ievades un piedāvājumu algoritmi. To apvienošana vienā "kripto iestatījumu" piezīmē padara nākamo kļūmi neattributējamu.
Pārbaudiet lēmumu ar laukiem, kurus konfigurējāt
Pārbaudiet identitāti, uz kuru profils faktiski atsaucas, pēc tam apstipriniet, ka sertifikātam šajā atsaucē ir gaidītā publiskā atslēga un izmantojama privātā atslēga. Saskarnē parādītajam tipam, atsauktajam sertifikātam un ierīcē esošajai atslēgai jāsakrīt.
Pēc tam apstipriniet vārtejas ievades: gaidīto servera nosaukumu, uzticības enkuru un IKE autentifikācijas metodi. Visbeidzot izveidojiet savienojumu un izlasiet, kur apstājas rokasspiediens. Kļūme pirms identitātes apmaiņas norāda prom no šī iestatījuma; kļūme partnera validācijā norāda uz vārtejas pusi.
Ierakstiet izvēlēto tipu, identitātes atsauci un vārtejas sertifikāta subjektu izvietošanas piezīmēs. Nākamais profila atjauninājums var mainīt jebkuru no tiem, un trīs nosauktas vērtības ir ātrāk salīdzināt nekā iestatījumu paneļa ekrānuzņēmumu.