Mac IKEv2 ECDSA: ямар төрлийн гэрчилгээ клиентэд хамаарах вэ?
Mac дээр IKEv2 тохиргооны ECDSA256 нь локал таних гэрчилгээг тодорхойлдог бөгөөд гарц эсвэл олгогчийн гарын үсэг биш. Сонгохын өмнө үүрэг бүрийг уншина уу.
macOS дээр IKEv2 клиент тохиргооны ECDSA сонголт нь нарийн асуултад хариулдаг: ямар гэрчилгээ Mac-ийн таних тэмдгийг нотолдог вэ. Энэ нь гарцын гэрчилгээ, клиентийн гэрчилгээг олгосон гарын үсэг, эсвэл туннелийн шифрлэлтийн саналыг тодорхойлдоггүй. Эдгээр дөрвөн үүргийг нэг нийцлийн асуулт гэж үзэх нь зөв локал тохиргоог серверийн талын зөрүүнд буруутгах шалтгаан болдог. Шийдвэр бага боловч түүнийг гаргахад ашигласан нотолгоо нарийвчлалтай байх ёстой.
Энэ талбар нэг гэрчилгээг нэрлэнэ: локал таних тэмдэг
Apple-ийн Network Extension API нь клиентийн итгэмжлэлд зориулсан гэрчилгээний төрлийг санал болгодог бөгөөд үүнд NEVPNIKEv2CertificateType.ECDSA256 багтах бөгөөд ECDSA p-256 гэрчилгээний төрөл гэж баримтжуулсан. Энэ шинж чанар нь identityReference эсвэл identityData-оор өгөгдсөн гэрчилгээнд хамаарна.
Энэ нь шийдвэр нь Mac-ийн танилцуулах гэрчилгээ болон түүнтэй холбоотой хувийн түлхүүрт хамаарна гэсэн үг. Тухайн навч гэрчилгээний нийтийн түлхүүрт тохирох төрлийг сонгож, дэмжигдсэн механизмаар таних тэмдгийг өгнө үү. Хэрэв Mac-д таних тэмдэгт ашиглах боломжтой хувийн түлхүүр байхгүй бол төрлийн сонголт холболтыг аварч чадахгүй.
Удирдлагатай профайлууд ижил шийдвэрийг IKEv2 ачааллын CertificateType-аар гаргах бөгөөд PayloadCertificateUUID зэрэг гэрчилгээний лавлагаатай хавсарна. Эдгээр талбарт зорилтот OS хувилбарын урьдчилсан нөхцөл, схем байдаг; профайлд хуулсан нүцгэн төрлийн утга суулгагдахгүй, тохиргооны цонх API-ийн бүх сонголтыг харуулахгүй байж болно. Байршуулахын өмнө тухайн хувилбарын ачааллын урьдчилсан нөхцөлийг шалгана уу.
Гэрчилгээний шошгоор биш, үүргээр шийдээрэй
Өөрчлөх гэж буй талбараа уншиж, аль гэрчилгээ рүү зааж байгааг асууна уу. Гэрчилгээ үзэгчийн шошго нь субьект, олгогч, гарын үсгийн алгоритмыг хольж харуулдаг бөгөөд тэдгээрийн зөвхөн нэг нь клиентийн таних тэмдгийн сонголтод хамаарна.
| What you inspected | What it controls | Does it choose the Mac certificate type? |
|---|---|---|
| Client leaf public key | The identity the Mac presents | Yes, this is the field's subject |
| Issuer signature algorithm | How the client certificate was signed | No |
| Gateway certificate | What the Mac validates as the peer | No, check it separately |
| IKE and ESP proposals | Algorithms for the tunnel | No, separate proposal settings |
Хэрэв гэрчилгээ үзэгч CA-аас ECDSA гарын үсэг харуулж байвал энэ нь олгогчийн гарын үсэг зурах түлхүүрийг тодорхойлно. Клиентийн өөрийн түлхүүр одоо ч RSA байж болох бөгөөд төрлийн талбар нь гарын үсгийн мөрөнд биш, клиентийн түлхүүрт дагах ёстой. Энэ нэг андуурал "ECDSA тохируулсан боловч холболт бүтэлгүйтдэг" гэсэн олон мэдээг тайлбарладаг. Ямар нэгэн зүйл өөрчлөхөөс өмнө навчны түлхүүрийн төрлийг профайлд сонгосон төрөлтэй харьцуулна уу.
Навчийг тодорхойлсны дараа шийдвэр хялбар болно: p-256 клиентийн түлхүүрт ECDSA256, өөр түлхүүрт өөр дэмжигдсэн төрөл. Хэрэв клиентийн гэрчилгээ болон түүний түлхүүр таарахгүй бол VPN профайлыг өөрчлөхөөс өмнө тэр хосыг засна уу.
Гарцын гэрчилгээ нь тусдаа шийдвэр
Гарц өөрийн гэрчилгээг танилцуулж, Mac үүнийг итгэлийн зангуу болон хүлээгдэж буй нэртэй харьцуулан баталгаажуулна. Тэр гэрчилгээ ECDSA, RSA эсвэл өөр түлхүүрийн төрөл ашиглаж байгаа эсэх нь серверийн шинж чанар бөгөөд клиентийн таних тэмдгийн тохиргооны биш.
ECDSA клиентийн гэрчилгээг локалаар дэмжих нь гарц бүрийн гэрчилгээ, муруй, серверийн баталгаажуулалтын тохиргоо харилцан ажиллана гэдгийг нотолдоггүй. Серверийн таних тэмдэг, түүний гинж, IKE баталгаажуулалтын аргыг тусдаа оролт гэж шалгаж, бодитоор байршуулах профайлаар туршина уу.
Хэрэв гарцын гэрчилгээ нь асуудал бол, шинж тэмдэг нь ихэвчлэн таних тэмдгийн сонголтод биш, хамтрагчийг баталгаажуулах үед илэрдэг. Клиентийн төрлийг өөрчлөхөөс өмнө бүтэлгүйтлийн үе шатыг уншина уу, учир нь итгэлийн бүтэлгүйтэл болон клиентийн түлхүүрийн зөрүү нь нэг засваргүй.
Олгогчийн гарын үсэг, түлхүүрийн тохиролцооны бүлэг нь клиентийн төрөл биш
X.509 нь субьектийн нийтийн түлхүүр болон олгогчийн гарын үсгийг өөр өөр талбарт хадгалдаг. Субьектийн нийтийн түлхүүрийн мэдээлэл гэрчилгээ дэх түлхүүрийг тодорхойлно; гарын үсгийн алгоритм нь CA-ийн түлхүүр болон гарын үсэг зурах үйлдлийг тодорхойлно. Гэрчилгээний төрлийн тохиргоонд зөвхөн эхнийх нь тохирно.
IKE болон Child SA саналууд нь өөр тэнхлэг. ECDSA гэрчилгээний төрөл нь ESP шифрлэлтийн сонголт биш бөгөөд түлхүүрийн тохиролцооны бүлгийг өөрчлөх нь гэрчилгээний төрлийг сонгодоггүй. Профайлд хүчинтэй санал, буруу таних тэмдгийн төрөл, эсвэл зөв таних тэмдгийн төрөл болон хамтрагчийн татгалзсан санал байж болно.
Өөрчлөлтийн бүртгэлд гурван мөрийг тусад нь хадгална уу: таних тэмдгийн гэрчилгээ ба түлхүүр, гарцын итгэлийн оролтууд, саналуудын алгоритмууд. Тэдгээрийг нэг "крипто тохиргоо" тэмдэглэлд нэгтгэвэл дараагийн бүтэлгүйтлийг хамааруулах боломжгүй болно.
Тохируулсан талбаруудаараа шийдвэрийг шалгана уу
Профайл бодитоор лавлаж буй таних тэмдгийг шалгаад, тухайн лавлагааны гэрчилгээнд хүлээгдэж буй нийтийн түлхүүр болон ашиглах боломжтой хувийн түлхүүр байгааг батална уу. Интерфэйс дэх төрөл, лавлагдсан гэрчилгээ, төхөөрөмж дээрх түлхүүр зэрэг нь тохирох ёстой.
Дараа нь гарцын оролтуудыг батална уу: хүлээгдэж буй серверийн нэр, итгэлийн зангуу, IKE баталгаажуулалтын арга. Эцэст нь холбогдож, гар барилт хаана зогсож байгааг уншина уу. Таних тэмдэг солилцохоос өмнөх бүтэлгүйтэл энэ тохиргооноос холдуулна; хамтрагчийг баталгаажуулах үеийн бүтэлгүйтэл гарцын тал руу заана.
Сонгосон төрөл, таних тэмдгийн лавлагаа, гарцын гэрчилгээний субьектийг байршуулалтын тэмдэглэлд бичнэ үү. Дараагийн профайлын шинэчлэл тэдгээрийн аль нэгийг өөрчилж болох бөгөөд гурван нэрлэсэн утгыг тохиргооны панелийн дэлгэцийн зурагнаас хурдан харьцуулж болно.