Mac VPN sertifikāts: kuru kontu redz vārteja?

Profils rāda jūsu vārdu, sertifikāta redzamā etiķete saka ko citu, un vārtejas žurnāls reģistrē trešo identifikatoru. Neviens no tiem nemelo, un tieši tā ir problēma: trīs dažādi lauki tiek lasīti tā, it kā tie atbildētu uz vienu jautājumu. Savienojums uzrāda akreditācijas datus, IKEv2 identifikatoru un kontu, un vārteja izlemj, kurš no tiem ko pilnvaro.

Trīs identitātes vienā savienojumā

Redzamais profila nosaukums ir etiķete cilvēkiem. Tas izvēlas savienojumu un neko vairāk. Sertifikāts ir akreditācijas dati, un tas, vai tas var kaut ko pierādīt, ir atkarīgs no tā, vai klientam ir atbilstošā privātā atslēga. Konta lauks ir apgalvojums par galveno personu, un serveris var brīvi to kartēt uz citu vietējo identitāti.

Kad autentifikācija neizdodas, jautājiet, uz kuru no trim attiecas kļūda. Noraidīti akreditācijas dati, nezināms identifikators un deaktivizēts konts rada atšķirīgus ziņojumus, un to uztveršana kā viena «sertifikāta problēma» aizsūta jūs uz nepareizo konsoli.

Lasiet vietējos laukus pēc to uzdevuma

Pārvaldītā vietējā IKEv2 konfigurācijā Apple lietderīgās kravas atsauce atdala vērtības, un autentifikācijas metode nosaka, kura kombinācija ir nepieciešama:

Sertifikātam un EAP pieteikšanās var būt dažādas lomas vienā savienojumā. Nepiespiediet katru lauku turēt vienu un to pašu tekstu tikai tāpēc, ka viens no tiem tā dara, un nepieņemiet, ka viena maiņa atceļ pārējos. Trešās puses VPN lietotne var parādīt pilnīgi citu modeli; izmantojiet tās dokumentēto identitātes izvēli, nevis pārnesiet tajā vietējos lauku nosaukumus.

Servera sertifikāts nav klienta identitāte

Sertifikāts, kas validē vārteju, ir uzticības enkurs. Tas pierāda, ka esat sasniedzis gaidīto serveri. Klienta identitāte ir cits objekts: tā ietver piekļuvi privātajai atslēgai, kas pierāda, ka pievienojošā puse ir tā, par ko tā sevi pasludina. Redzama konta pārdēvēšana nevar vienu pārvērst otrā.

Šeit labi domāta labošana noiet greizi. Vārtejas CA sertifikāta importēšana klienta glabātavā neko nedara klienta autentifikācijai, un tā ieraksta apzīmēšana ar lietotāja vārdu nepadara to par lietotāja identitāti. Abi objekti dzīvo dažādās profila daļās un atbild uz dažādiem jautājumiem.

Izsekojiet galvenajai personai līdz vārtejas kartēšanai

Apstipriniet, kam akreditācijas dati ir izsniegti: šim lietotājam, šai ierīcei vai kopīgai lomai. Mac pieteikšanās konts nav automātiski šī galvenā persona, un sertifikāts, kas nokopēts no citas mašīnas, saglabā tās mašīnas identitāti, kurai tas izsniegts.

Pēc tam salīdziniet faktiskos akreditācijas datus, nevis etiķeti. Izsniedzējs, sērijas numurs un pirksta nospiedums ļauj jums un administratoram apstiprināt, ka runājat par vienu un to pašu objektu. Parādāmie nosaukumi ir rediģējami un bieži tiek dublēti, kas padara tos par sliktāko iespējamo identifikatoru incidenta laikā.

Pēdējais solis ir vārtejā. Lūdziet tās īpašniekam korelēt vienu savienojumu ar uzrādītajiem identifikatoriem un ar kontu kartēšanas noteikumu, kas tos patērēja. Klienta puses etiķete nevar noteikt, ko serveris izlēmis, un noteikums, kas kartē sertifikātu uz deaktivizētu kontu, neizdosies, kamēr visi klienta puses lauki izskatās pareizi.

Salabojiet slāni, kuram pieder šī neatbilstība

Ja profils norāda uz nepareizajiem akreditācijas datiem, izlabojiet to atsauci vai izvēli. Ja akreditācijas dati pieder citai galvenajai personai, ejiet cauri izsniedzēja atkārtotai reģistrācijai, nevis rediģējiet etiķetes. Ja vārteja piesaista derīgus akreditācijas datus nepareizajam kontam, tās politikas īpašniekam ir jāizlabo kartēšana. Tie ir trīs dažādi grozījumi ar trim dažādiem apstiprinātājiem.

Atjaunošana ir pelnījusi tādu pašu rūpību. Sertifikāta nomaiņa, tā redzamās etiķetes pārdēvēšana un personas pārvietošana starp kontu sistēmām ne vienmēr ietekmē kartēšanu vienādi. Pierakstiet, kuru no trim jūs mainījāt, jo nākamā kļūme no klienta puses izskatīsies identiska un vārtejas žurnālā citāda.

Kopīgojiet tikai tos minimālos publiskos identifikatorus, kas nepieciešami atbalsta dienestam. Privātā atslēga vai pilnīgs identitātes komplekts nekad nav šīs apmaiņas daļa, lai cik ērti tas padarītu diagnostiku.