Mac VPN сертификат: зошто избирачот на идентитет останува празен
Клиентот бара сертификат со својот приватен клуч, во складиште што го чита. Прво проверете го идентитетот, потоа дали портата го прифаќа.
Го инсталиравте сертификатот, тој се појавува во Keychain Access со пријателско име, а избирачот на идентитет на VPN клиентот останува празен. Клиентот не бара сертификат. Бара идентитет: сертификат спарен со приватниот клуч што може да го докаже поседувањето, складиран таму каде што клиентот смее да го чита.
Она што клиентот го бара е идентитет
Безбедносната рамка на Apple третира сертификат и идентитет како различни објекти. Сертификатот е јавни податоци. Идентитетот е тој сертификат плус неговиот приватен клуч, и само идентитетот може да го заврши предизвикот. Доверлив CA сертификат, пак, му овозможува на клиентот да го оцени издавачот; тој не ја прави машината носител на издадена клиентска акредитива.
| Item | What it can do | What it cannot do |
|---|---|---|
| CA or server certificate | Validate the gateway's chain | Authenticate this client |
| Client certificate without key | Nothing for authentication | Prove possession of anything |
| Identity (cert plus key) | Answer the authentication challenge | Guarantee the gateway accepts it |
Затоа увезувањето на датотека .cer никогаш не создава употреблив клиентски идентитет. Датотеката носи само јавен материјал, и никакво преименување ни доверба не ја прави пар клучеви.
Три причини зошто избирачот останува празен
Првата е недостасувачки приватен клуч, што значи дека процесот на регистрација или увоз не доставил ниту еден. Втората е складиште што клиентот не го проверува: профилот со кориснички опсег гледа во корисничкиот привезок на клучеви, а ставката сместена во системско складиште може да му биде невидлива. Третата е несовпаѓање на намената или политиката, каде што сертификатот постои, но не е валиден за автентикација на клиентот според правилата на распоредувањето.
security find-identity -v -p ssl-clientОва ги наведува идентитетите што системот ги смета за валидни за автентикација на клиентот. Ако бројот е нула, проблемот е пред VPN клиентот и никакво уредување на профилот нема да го поправи. Ако идентитетот се појавува тука, но не во клиентот, разликата е во складиштето или опсегот на клиентот.
Каде живее приватниот клуч и кој смее да го користи
Кога увезувате идентитет преку Keychain Access, дијалогот за увоз нуди целен привезок на клучеви. Кое целно место е точно зависи од клиентот и од тоа дали профилот е со кориснички или уредски опсег. Стар одговор што го препорачува системскиот привезок не е универзално правило, а копирањето ставки меѓу складишта не е поправка.
System Roots е збирка на доверба. Ставањето сертификат таму менува на кои издавачи системот им верува; тоа не создава приватен клуч и не е складиште на идентитети. Преместувањето на неповрзани сертификати за да се пополни избирач е вид поправка што ја остава машината со трајно проширен збир на доверба.
Пристапот до приватниот клуч е одделна контрола. Давање дозвола на секоја апликација да го користи клучот го решава проблемот со избор на еден клиент и ја дава истата можност на сето друго на машината. Дозволете му на клиентот на кој му е потребно и проверете дали клучот е хардверски поддржан или означен како неизвозлив; ако е така, мора да се користи поддржаниот провајдер наместо извезена копија.
Како профилот покажува на акредитивата
Во управуваната нативна IKEv2 конфигурација, профилот го реферира своето полезно оптоварување на акредитивата преку PayloadCertificateUUID. Важни се наведениот идентитет и начинот на кој е обезбеден; уредувањето на прикажаното име во профилот не поправа референца што покажува на погрешно полезно оптоварување или на она што никогаш не доставило клуч.
Провајдер од трета страна може да користи сосема поинаков механизам за избор, како сопствено складиште или системско потсетување. Прочитајте ја документацијата на тој провајдер наместо да ги пренесувате претпоставките за нативниот профил, и проверете ја референцата во профилот што е навистина инсталиран, а не во нацртот во конзолата за управување.
Изборот и прифаќањето се одделни пресвртници
Пополнет избирач значи дека клиентот може да најде и да користи идентитет. Тоа не кажува ништо за тоа дали портата ќе го прифати. Серверот сето уште го проверува издавачот, периодот на важност, статусот на отповикување и мапирањето на таа акредитива на сметка.
Тестирајте ги двете фази експлицитно, по тој редослед. Потврдете дека идентитетот се нуди, поврзете се, а потоа побарајте од сопственикот на портата да потврди која акредитива е претставена и кое правило за мапирање ја искористило. Ако клиентот нуди идентитет, а серверот го одбива, преостанатата работа е на страната на серверот. Преинсталирањето на сертификатот на Mac нема да го промени тој исход, колку и да се повторува.