VPN сертификат на Mac: кој профил го гледа портата?

Профилот го покажува вашето име, видливата ознака на сертификатот кажува нешто друго, а дневникот на портата забележува трет идентификатор. Ниту еден од нив не лаже, и токму тоа е проблемот: три различни полиња се читаат како да одговараат на едно прашање. Врската прикажува акредитив, IKEv2 идентификатор и сметка, а портата одлучува кој од нив што овластува.

Три идентитети во една врска

Видливото име на профилот е ознака за луѓе. Тоа избира врска и ништо друго. Сертификатот е акредитив, а дали може да докаже нешто зависи од тоа дали клиентот го има соодветниот приватен клуч. Полето за сметка е тврдење за главен субјект, а серверот е слободен да го поврзе со друг локален идентитет.

Кога автентикацијата не успева, прашајте на кое од трите се однесува грешката. Одбиен акредитив, непознат идентификатор и оневозможена сметка даваат различни пораки, а нивното третирање како еден «проблем со сертификатот» ве испраќа во погрешна конзола.

Читајте ги изворните полиња според нивната задача

Во управувана изворна IKEv2 конфигурација, референцата за полезен товар на Apple ги одделува вредностите, а методот на автентикација одлучува која комбинација е потребна:

Сертификат и најава преку EAP можат да имаат различни улоги во истата врска. Не принудувајте го секое поле да го содржи истиот текст само затоа што едно од нив го прави тоа, и не претпоставувајте дека промената на едното ги поништува другите. VPN апликација од трета страна може да прикаже сосема друг модел; користете го нејзиниот документиран избор на идентитет наместо да пренесувате изворни имиња на полиња во неа.

Сертификатот на серверот не е идентитет на клиент

Сертификатот што ја валидира портата е сидро на доверба. Тој докажува дека сте стигнале до серверот што го очекувавте. Идентитетот на клиентот е друг објект: вклучува пристап до приватниот клуч што докажува дека страната што се поврзува е онаа за која се претставува. Преименувањето на видлива сметка не може едното да го претвори во другото.

Тука добронамерната поправка тргнува погрешно. Увозот на CA сертификатот на портата во складиштето на клиентот не прави ништо за автентикацијата на клиентот, а означувањето на тој запис со името на корисникот не го прави кориснички идентитет. Двата објекти живеат во различни делови од профилот и одговараат на различни прашања.

Следете го главниот субјект до поврзувањето на портата

Потврдете за што е издаден акредитивот: за овој корисник, овој уред или заедничка улога. Сметката за најава на Mac не е автоматски тој главен субјект, а сертификат копиран од друга машина го задржува идентитетот на машината за која е издаден.

Потоа споредете го вистинскиот акредитив, а не ознаката. Издавач, сериски број и отпечаток ви овозможуваат вам и на администраторот да потврдите дека зборувате за истиот објект. Прикажаните имиња се уредливи и често се дуплираат, што ги прави најлошиот можен идентификатор за време на инцидент.

Последниот чекор е на портата. Побарајте од нејзиниот сопственик да поврзе една врска со прикажаните идентификатори и со правилото за поврзување сметки што ги искористило. Ознаката на страната на клиентот не може да утврди што одлучил серверот, а правилото што поврзува сертификат со оневозможена сметка ќе пропадне додека сите полиња на клиентот изгледаат исправно.

Поправете го слојот што го поседува несовпаѓањето

Ако профилот покажува на погрешен акредитив, поправете ја неговата референца или избор. Ако акредитивот припаѓа на друг главен субјект, поминете низ повторно запишување кај издавачот наместо да уредувате ознаки. Ако портата поврзува валиден акредитив со погрешна сметка, нејзиниот сопственик на политиката мора да го поправи поврзувањето. Тоа се три различни промени со три различни одобрувачи.

Обновата заслужува исто внимание. Замената на сертификатот, преименувањето на неговата видлива ознака и преместувањето на личност меѓу системи за сметки не влијаат нужно на поврзувањето на ист начин. Запишете која од трите ја сменивте, бидејќи следниот неуспех ќе изгледа исто од страната на клиентот, а поинаку во дневникот на портата.

Споделувајте ги само минималните јавни идентификатори што и се потребни на поддршката. Приватен клуч или целосен пакет за идентитет никогаш не е дел од таа размена, колку и да ја олеснува дијагнозата.