Mac дээр VPN-д сертификатаар нэвтрэх: хэн болох, түлхүүр ашиглах эсвэл гарцыг итгэх үү?
Сертификатаар нэвтрэх ард гурван шийдвэр байна: аль хэн болох сонгогдох, VPN бүрэлдэхүүн өөрийн түлхүүрийг ашиглаж болох эсэх, гарцад итгэж болох эсэх.
Сертификатад суурилсан VPN нэвтрэлт Mac-аас нууц үгээс илүү нарийн зүйл шаарддаг: энэ тодорхой хувийн түлхүүрийг, энэ гүйцэтгэлийн орчинд, тэр гарцад хэн болохоо батлахад ашигла. Амжилтгүй болоход мессеж нь ихэвчлэн хамгийн сүүлд буруу болсон зүйлийг л дүрсэлдэг бөгөөд тэр нь шалтгаан байх нь ховор. Системийн шийдвэр гаргах дарааллаар гурван шийдвэрийг дамжин өнгөрөх нь оношилгоог шударга байлгаж, локал зөвшөөрлийн асуудлыг гинжин баталгаажуулалтын алдаа гэж үзэхээс сэргийлдэг.
Нэвтрэлтийг Mac-ийн хийх дарааллаар дамжуул
Эхлээд клиент хэн болохоо сонгодог: ашиглах боломжтой хувийн түлхүүртэй хосолсон сертификат, дэмжигдсэн сан эсвэл итгэмжлэлийн нийлүүлэгчээр дамжуулан боломжтой. Дараа нь VPN бүрэлдэхүүн тэр түлхүүрээр криптограф үйлдэл хийхийг хүсэх ба локал зөвшөөрлийн загвар хариулдаг. Хоёулаа амжилттай болсны дараа л алсын гар барилт явагддаг бөгөөд тэнд Mac гарцыг үнэлж, гарц клиентийн нотолгоог үнэлдэг.
| Decision | Typical symptom | Where to look |
|---|---|---|
| Identity selection | No valid identity, wrong certificate offered | Profile and which identity the client picked |
| Local key use | Signing or interaction error before any handshake | Execution context and key access rules |
| Remote authentication | Chain, name or client-admission rejection | Gateway identity and what it accepts |
Хүснэгтийг дээрээс доош уншиж, эхний бүтэлгүй мөрөнд зогс. Бүтэлгүйтлийн доорх бүхэн нотлогдоогүй, тиймээс «сертификатад итгэх боломжгүй» гэдэг нь ийм түгээмэл бөгөөд ийм найдваргүй дүгнэлт юм.
Локал зөвшөөрөл үнэхээр юуг хамардаг вэ
macOS түлхүүрийн оосрын загварт хамгаалагдсан зүйлс үйлдэл тус бүрийн хандалтын дүрэм, итгэмжлэгдсэн програмын жагсаалтыг агуулдаг. Хувийн түлхүүрээр гарын үсэг зурах нь тэдгээр үйлдлийн нэг бөгөөд дүрэм нь түүнийг гүйцэтгэж буй гүйцэтгэх файлд хамаарна, баримт бичиг болох сертификатад биш. Apple-ийн хандалтын хяналтын лавлагаа энэ загвар болон iCloud түлхүүрийн оосор, хандалтын бүлгийн зохицуулалтын хооронд ч шугам тавьдаг тул нэгэнд зориулсан зөвлөгөө нөгөөд шилжихгүй.
Үүнээс хоёр үр дагавар гарна. Жагсаалтад харагдах нийтийн сертификат нь VPN-ийн арын бүрэлдэхүүн тэр түлхүүрт хүрч чадна гэдгийг батлахгүй. Фронт апп-д олгосон зөвшөөрөл нь тусдаа туслах эсвэл сүлжээний өргөтгөлийн талаар юу ч хэлэхгүй, учир нь тэдгээр нь өөр хэн болохтой өөр код юм.
Хуучин клиентээс гүйцэтгэх файлын зам хуулахын оронд бодит хэрэгжүүлэлт болон түүний дэмжигдсэн итгэмжлэл хуваалцах механизмыг тодорхойл. Эхлээд систем ямар хэн болохыг санал болгохыг батал:
security find-identity -v -p ssl-clienterrSecInteractionNotAllowed-г хэрхэн унших
Тэр төлөв Security Server-тэй зөвшөөрөлгүй харилцсан тухай мэдээлдэг бөгөөд сертификатын гинжийн талаар юу ч хэлэхгүй. Үүнийг бий болгосон үйлдэлтэй хамт унш: сануулга харуулж чадахгүй орчноос илгээсэн гарын үсгийн хүсэлт нь түлхүүр болон сертификат хоёулаа бүрэн хүчинтэй байсан ч ийм байдлаар бүтэлгүй болно. Эхлэх газар нь үүнийг бүртгэсэн үйлдэл, сертификатын сан биш. Итгэлийн тулгуурт хийх аливаа өөрчлөлт алдааг яг байсан газарт нь орхино.
Тиймээс кодыг гүйцэтгэлийн орчин, зөвшөөрлийг шалгах шалтгаан гэж үз. Үүнийг гарцын CA-д итгэх боломжгүй гэсэн нотолгоо гэж үзвэл асуудлын буруу хагаст орно, тэнд хийсэн өөрчлөлт алдаанд огт нөлөөлөхгүй.
Нарийн засаж, өргөнөөр биш
Холболтын эзэмшигчийн бүртгэл эсвэл импортын заавраас эхэл. Клиентийн хувилбар, профайлын хамрах хүрээ, сонгосон хэн болох, эхний хамааралтай локал алдааг тэмдэглэ, учир нь эдгээр дөрвөн баримт дэмжлэгт шилжүүлэхэд хэрэгтэй бөгөөд дараагийн харьцуулалт түүнээс хамаарна. Удирдлагатай профайл эсвэл техник хангамжаар дэмжигдсэн хэн болох нь администратор эсвэл нийлүүлэгч шилжүүлгийг засахыг шаардаж болох бөгөөд локал товшилтын ямар ч хэмжээ түүнийг орлохгүй.
Бүтээгдэхүүн хэрэглэгчийн зөвшөөрөл хүлээж байгаа газарт аль бүрэлдэхүүн хүсч байгааг бататгаж, дэмжигдсэн урсгалаар зөвхөн тэр хандалтыг зөвшөөр. Бүрэлдэхүүн өөрөө ажиллаж буй орчинд сануулга гаргах аргагүй газарт нийлүүлэлт нь нийлүүлэгчийн баримтжуулсан замаар явах ёстой, өөр терминалын цонхноос татсан диалог биш.
Хуучин зөвлөгөөнд хоёр өөрчлөлтийг хамт багцалдаг бөгөөд хоёулаа хэт өргөн. Апп бүрт хувийн түлхүүрт хандах эрх өгөх нь локал түлхүүр ашиглалтыг шаардлагаас хамаагүй давж өргөжүүлнэ, сертификатыг Always Trust дээр тавих нь машины бүх зүйлийн сертификатын үнэлгээг өөрчилнө. Аль нь ч «энэ зөвшөөрөгдсөн VPN хэрэгжүүлэлт, энэ зориулсан хэн болохыг ашиглан» гэж илэрхийлэхгүй.
Гарцыг уншихаас өмнө локалаар шалга
Засварын дараа локал үйлдэл амжилттай болж байгааг батал нөгөө талаас ирэх аливаа хариуг тайлбарлахаас өмнө. Хэрэв гарын үсэг одоо ажиллаж байвал дараагийн нэр, гинж эсвэл клиент хүлээн авахаас татгалзах нь давтагдал биш шинэ үр дүн бөгөөд өөр хариуцлагатай өөр шийдвэрт хамаарна.
Ашигтай шилжүүлэг гурван шийдвэрийн алийг нь бүтэлгүй болсныг нэрлээд тэнд зогсдог. Энэ нь хувийн түлхүүрийг хэзээ ч оруулдаггүй, цэвэр байдал тус болно гэсэн итгэлээр хамааралгүй түлхүүрийн оосрын зүйлсийг хэзээ ч дахин тохируулдаггүй. Тэр хоёр дадлыг ослын үеэр биш, урьд нь тогтоо, учир нь бүгдийг нэг дор туршиж үзэх уруу таталт тэр үед хамгийн хүчтэй байдаг. «Түлхүүрийн оосрыг дахин бүтээв» гэсэн тасалбар дараагийн уншигчид анхны гэмтлийн талаар бараг юу ч хэлдэггүй.