Mac VPN гэрчилгээ: яагаад таних тэмдгийн сонгогч хоосон хэвээр байна
Клиентэд гэрчилгээ болон түүний хувийн түлхүүр хэрэгтэй, өөрөө уншдаг санд байх ёстой. Эхлээд таних тэмдгийг шалгаад, дараа нь гарц хүлээж авах эсэхийг шалгана.
Та гэрчилгээг суулгасан, энэ нь Keychain Access-д танил нэрээр харагдаж байгаа ч VPN клиентийн таних тэмдгийн сонгогч хоосон хэвээр байна. Клиент гэрчилгээ хайхгүй байна. Тэр таних тэмдэг хайж байна: эзэмшлийг нотолж чадах хувийн түлхүүртэй хослуулсан гэрчилгээ, клиент унших зөвшөөрөлтэй газарт хадгалагдсан.
Клиентийн шаардаж буй зүйл бол таних тэмдэг
Apple-ийн аюулгүй байдлын хүрээ гэрчилгээ болон таних тэмдгийг өөр өөр объект гэж үздэг. Гэрчилгээ бол нийтийн өгөгдөл. Таних тэмдэг нь тэр гэрчилгээ болон түүний хувийн түлхүүр, зөвхөн таних тэмдэг л сорилтыг гүйцээж чадна. Харин итгэмжлэгдсэн CA гэрчилгээ нь клиентэд олгогчийг үнэлэх боломж олгодог; энэ нь машиныг олгосон клиентийн итгэмжлэлийн эзэн болгодоггүй.
| Item | What it can do | What it cannot do |
|---|---|---|
| CA or server certificate | Validate the gateway's chain | Authenticate this client |
| Client certificate without key | Nothing for authentication | Prove possession of anything |
| Identity (cert plus key) | Answer the authentication challenge | Guarantee the gateway accepts it |
Тиймээс .cer файлыг импортлох нь хэзээ ч ашиглах боломжтой клиентийн таних тэмдэг үүсгэдэггүй. Файл зөвхөн нийтийн материал агуулдаг бөгөөд хэчнээн нэр сольсон ч, итгэмжлэл өгсөн ч түлхүүрийн хос болдоггүй.
Сонгогч хоосон хэвээр байх гурван шалтгаан
Эхнийх нь хувийн түлхүүр байхгүй байгаа бөгөөд энэ нь бүртгэл эсвэл импортлох үйл явц нэгийг ч өгөөгүй гэсэн үг. Хоёр дахь нь клиентийн шалгадаггүй сан: хэрэглэгчийн түвшний профайл хэрэглэгчийн түлхүүрийн багцаас хайдаг бол системийн санд байрлуулсан зүйл түүнд харагдахгүй байж болно. Гурав дахь нь зорилго эсвэл бодлогын зөрүү бөгөөд гэрчилгээ байгаа ч байршуулалтын дүрмийн дагуу клиентийн баталгаажуулалтад хүчинтэй бус байна.
security find-identity -v -p ssl-clientЭнэ нь систем клиентийн баталгаажуулалтад хүчинтэй гэж үздэг таних тэмдгүүдийг жагсаав. Хэрэв тоо нь тэг бол асуудал VPN клиентээс дээгүүр байгаа бөгөөд профайлын ямар ч засвар үүнийг засахгүй. Хэрэв таних тэмдэг энд харагдаж, клиентэд харагдахгүй бол ялгаа нь клиентийн сан эсвэл хүрээнд байна.
Хувийн түлхүүр хаана амьдардаг, хэн үүнийг ашиглаж болох вэ
Та Keychain Access-аар таних тэмдэг импортлоход импортын харилцан яриа зорилтот түлхүүрийн багцыг санал болгодог. Аль зорилт зөв байх нь клиент болон профайл хэрэглэгчийн эсвэл төхөөрөмжийн хүрээтэй эсэхээс хамаарна. Системийн түлхүүрийн багцыг санал болгодог хуучин хариулт нь бүх нийтийн дүрэм биш бөгөөд сангуудын хооронд зүйл хуулах нь засвар биш.
System Roots бол итгэмжлийн цуглуулга юм. Тэнд гэрчилгээ хийх нь систем аль олгогчдод итгэдэг болохыг өөрчилдөг; энэ нь хувийн түлхүүр үүсгэдэггүй бөгөөд таних тэмдгийн сан биш. Сонгогчийг дүүргэхийн тулд хамааралгүй гэрчилгээг зөөх нь машиныг байнгын өргөтгөсөн итгэмжлийн багцтай үлдээдэг засварын төрөл юм.
Хувийн түлхүүрт хандах нь тусдаа хяналт юм. Програм бүрт түлхүүрийг ашиглах зөвшөөрөл өгөх нь нэг клиентийн сонголтын асуудлыг шийдэж, мөн чадварыг машины бусад бүх зүйлд өгдөг. Үүнийг хэрэгтэй клиентэд өгч, түлхүүр нь техник хангамжаар дэмжигдсэн эсвэл экспортлох боломжгүй гэж тэмдэглэгдсэн эсэхийг шалгана уу; хэрэв тийм бол экспортолсон хуулбарын оронд дэмжигдсэн нийлүүлэгчийг ашиглах ёстой.
Профайл итгэмжлэл рүү хэрхэн заадаг
Удирдлагатай төрөлх IKEv2 тохиргоонд профайл өөрийн итгэмжлэлийн ачааллыг PayloadCertificateUUID-аар дамжуулан заадаг. Заасан таних тэмдэг болон түүнийг хэрхэн хангасан нь чухал; профайл дахь харуулах нэрийг засах нь буруу ачаалал эсвэл хэзээ ч түлхүүр өгөөгүй ачаалал руу заасан лавлагааг засдаггүй.
Гуравдагч талын нийлүүлэгч огт өөр сонголтын механизм ашиглаж болно, жишээлбэл өөрийн сан эсвэл системийн сануулга. Төрөлх профайлын таамаглалыг шилжүүлэхийн оронд тэр нийлүүлэгчийн баримт бичгийг уншиж, лавлагааг бодитоор суулгасан профайлд шалгана уу, удирдлагын консолын төсөлд биш.
Сонголт ба хүлээн авалт нь тусдаа үе шат
Дүүрсэн сонгогч гэдэг нь клиент таних тэмдгийг олж ашиглаж чадна гэсэн үг. Энэ нь гарц үүнийг хүлээж авах эсэхийг огт хэлэхгүй. Сервер олгогч, хүчинтэй байх хугацаа, хүчингүй болгох төлөвийг шалгаж, мөн тэр итгэмжлэлийн бүртгэл рүү буулгах зураглалыг шалгадаг.
Хоёр үе шатыг тодорхой, тэр дарааллаар шалгана уу. Таних тэмдэг санал болгогдож байгааг баталж, холбогдоод, дараа нь гарцын эзнээс аль итгэмжлэл танилцуулагдсан, аль зураглалын дүрэм түүнийг ашигласан болохыг батлахыг хүс. Хэрэв клиент таних тэмдэг санал болгож, сервер түүнийг татгалзвал үлдсэн ажил серверийн талд байна. Mac дээр гэрчилгээг дахин суулгах нь хэчнээн удаа давтсан ч тэр үр дүнг өөрчлөхгүй.