Mac VPN प्रमाणपत्र: ओळख निवडकर्ता रिकामा का राहतो
क्लायंटला त्याच्या खाजगी कीसह प्रमाणपत्र हवे असते, अशा साठवणीत जी तो वाचतो। आधी ओळख तपासा, नंतर गेटवे ती स्वीकारतो का ते पहा।
तुम्ही प्रमाणपत्र स्थापित केले, ते Keychain Access मध्ये सोप्या नावाने दिसते, आणि तरीही VPN क्लायंटचा ओळख निवडकर्ता रिकामा आहे। क्लायंट प्रमाणपत्र शोधत नाही। तो ओळख शोधतो: मालकी सिद्ध करू शकणाऱ्या खाजगी कीसोबत जोडलेले प्रमाणपत्र, क्लायंटला वाचण्याची परवानगी असलेल्या ठिकाणी साठवलेले।
क्लायंट जे मागतो ती ओळख आहे
Apple चा सुरक्षा चौकट प्रमाणपत्र आणि ओळख यांना वेगवेगळ्या वस्तू मानतो। प्रमाणपत्र सार्वजनिक डेटा आहे। ओळख म्हणजे ते प्रमाणपत्र आणि त्याची खाजगी की, आणि आव्हान पूर्ण करू शकते फक्त ओळख। विश्वासार्ह CA प्रमाणपत्र मात्र क्लायंटला जारीकर्त्याचे मूल्यमापन करू देते; ते मशीनला जारी केलेल्या क्लायंट क्रेडेन्शियलचे धारक बनवत नाही।
| Item | What it can do | What it cannot do |
|---|---|---|
| CA or server certificate | Validate the gateway's chain | Authenticate this client |
| Client certificate without key | Nothing for authentication | Prove possession of anything |
| Identity (cert plus key) | Answer the authentication challenge | Guarantee the gateway accepts it |
म्हणून .cer फाइल आयात केल्याने कधीही वापरण्यायोग्य क्लायंट ओळख तयार होत नाही। फाइलमध्ये फक्त सार्वजनिक साहित्य असते। त्याचे नाव कितीही बदलले किंवा विश्वास दिला तरी ते की-जोडी होत नाही।
निवडकर्ता रिकामा राहण्याची तीन कारणे
पहिले म्हणजे खाजगी की नसणे, याचा अर्थ नोंदणी किंवा आयात प्रक्रियेने एकही दिली नाही। दुसरे म्हणजे क्लायंट न पाहणारी साठवण: वापरकर्ता-स्तरीय प्रोफाइल वापरकर्त्याच्या कीचेनमध्ये पाहते, आणि सिस्टम साठवणीत ठेवलेली वस्तू त्याला अदृश्य असू शकते। तिसरे म्हणजे उद्देश किंवा धोरणाची विसंगती, जिथे प्रमाणपत्र आहे पण तैनातीच्या नियमांनुसार क्लायंट प्रमाणीकरणासाठी वैध नाही।
security find-identity -v -p ssl-clientहे सिस्टम क्लायंट प्रमाणीकरणासाठी वैध मानते त्या ओळखींची यादी करते। जर गणना शून्य असेल, तर समस्या VPN क्लायंटच्या वर आहे आणि प्रोफाइलमधील कोणतेही संपादन ती सुधारणार नाही। जर ओळख येथे दिसते पण क्लायंटमध्ये नाही, तर फरक क्लायंटच्या साठवणीत किंवा व्याप्तीत आहे।
खाजगी की कुठे राहते, आणि कोण ती वापरू शकतो
जेव्हा तुम्ही Keychain Access द्वारे ओळख आयात करता, तेव्हा आयात संवाद लक्ष्य कीचेन सुचवतो। कोणते लक्ष्य बरोबर आहे हे क्लायंटवर आणि प्रोफाइल वापरकर्ता-स्तरीय आहे की उपकरण-स्तरीय यावर अवलंबून आहे। सिस्टम कीचेनची शिफारस करणारे जुने उत्तर सार्वत्रिक नियम नाही, आणि साठवणींमधील वस्तूंची प्रत करणे दुरुस्ती नाही।
System Roots हा विश्वास संग्रह आहे। तिथे प्रमाणपत्र ठेवल्याने सिस्टम कोणत्या जारीकर्त्यांवर विश्वास ठेवते ते बदलते; ते खाजगी की तयार करत नाही, आणि ती ओळख साठवणी नाही। निवडकर्ता भरण्यासाठी असंबंधित प्रमाणपत्रे हलवणे ही अशी दुरुस्ती आहे जी मशीनला कायमच्या विस्तारित विश्वास संचासह सोडते।
खाजगी कीमध्ये प्रवेश हे वेगळे नियंत्रण आहे। प्रत्येक अनुप्रयोगाला की वापरण्याची परवानगी देणे एका क्लायंटची निवड समस्या सोडवते आणि तीच क्षमता मशीनवरील बाकी सर्वांना देते। ती गरज असलेल्या क्लायंटला द्या, आणि की हार्डवेअर-आधारित आहे की निर्यात-अयोग्य असे चिन्हांकित आहे ते तपासा; असे असल्यास, निर्यात केलेल्या प्रतीऐवजी समर्थित प्रदाता वापरावा लागतो।
प्रोफाइल क्रेडेन्शियलकडे कसे निर्देश करते
व्यवस्थापित नेटिव्ह IKEv2 कॉन्फिगरेशनमध्ये, प्रोफाइल PayloadCertificateUUID द्वारे त्याच्या क्रेडेन्शियल पेलोडचा संदर्भ देते। संदर्भित ओळख आणि ती कशी पुरवली गेली हे महत्त्वाचे आहे; प्रोफाइलमधील प्रदर्शन नाव संपादित केल्याने चुकीच्या पेलोडकडे किंवा कधीही की न देणाऱ्या पेलोडकडे निर्देश करणारा संदर्भ सुधारत नाही।
तृतीय-पक्ष प्रदाता पूर्णपणे वेगळी निवड यंत्रणा वापरू शकतो, जसे त्याची स्वतःची साठवण किंवा सिस्टम सूचना। नेटिव्ह प्रोफाइलच्या गृहीतकांचे स्थानांतरण करण्याऐवजी त्या प्रदात्याची कागदपत्रे वाचा, आणि संदर्भ प्रत्यक्षात स्थापित प्रोफाइलमध्ये पडताळा, व्यवस्थापन कन्सोलच्या मसुद्यात नाही।
निवड आणि स्वीकृती या वेगळ्या टप्पे आहेत
भरलेला निवडकर्ता म्हणजे क्लायंट ओळख शोधू आणि वापरू शकतो। गेटवे ती स्वीकारेल का याबद्दल ते काहीही सांगत नाही। सर्व्हर अजूनही जारीकर्ता, वैधता कालावधी, रद्दीकरण स्थिती आणि त्या क्रेडेन्शियलचे खात्याशी असलेले मॅपिंग।
दोन्ही टप्पे स्पष्टपणे, त्याच क्रमाने तपासा। ओळख सादर केली जाते याची पुष्टी करा, कनेक्ट व्हा, आणि नंतर गेटवेच्या मालकाला कोणते क्रेडेन्शियल सादर झाले आणि कोणत्या मॅपिंग नियमाने ते वापरले याची पुष्टी करायला सांगा। जर क्लायंट ओळख सादर करतो आणि सर्व्हर ती नाकारतो, तर उर्वरित काम सर्व्हरच्या बाजूने आहे। Mac वर प्रमाणपत्र पुन्हा स्थापित केल्याने कितीही वेळा पुनरावृत्ती केली तरी तो निकाल बदलणार नाही।