Mac IKEv2 ECDSA: jenis sijil mana milik klien?
Pada Mac, ECDSA256 dalam tetapan IKEv2 menerangkan sijil identiti setempat, bukan gerbang atau tandatangan pengeluar. Baca setiap peranan sebelum memilih.
Pada macOS, pilihan ECDSA dalam tetapan klien IKEv2 menjawab soalan sempit: sijil mana yang membuktikan identiti Mac. Ia tidak menerangkan sijil gerbang, tandatangan yang mengeluarkan sijil klien, atau cadangan penyulitan untuk terowong. Menganggap keempat-empat peranan itu sebagai satu soalan keserasian ialah cara tetapan setempat yang betul dipersalahkan atas ketidaksesuaian di pihak pelayan. Keputusan itu kecil, tetapi bukti yang digunakan untuk membuatnya mesti tepat.
Medan ini menamakan satu sijil: identiti setempat
Network Extension API Apple mendedahkan jenis sijil untuk kelayakan klien, termasuk NEVPNIKEv2CertificateType.ECDSA256, yang didokumenkan sebagai jenis sijil ECDSA p-256. Sifat ini terpakai pada sijil yang dibekalkan melalui identityReference atau identityData.
Ini bermaksud keputusan itu mengenai sijil yang dikemukakan oleh Mac, serta kunci peribadi yang menyertainya. Pilih jenis yang sepadan dengan kunci awam sijil daun itu dan bekalkan identiti melalui mekanisme yang disokong. Jika Mac tiada kunci peribadi yang boleh digunakan untuk identiti, pilihan jenis tidak dapat menyelamatkan sambungan.
Profil terurus membuat keputusan yang sama melalui CertificateType muatan IKEv2, dipasangkan dengan rujukan sijil seperti PayloadCertificateUUID. Medan itu mempunyai prasyarat dan skema untuk versi OS sasaran; nilai jenis kosong yang disalin ke dalam profil tidak boleh dipasang, dan tetingkap tetapan mungkin tidak mendedahkan setiap pilihan API. Semak prasyarat muatan untuk versi itu sebelum penggunaan.
Tentukan mengikut peranan, bukan label sijil
Baca medan yang akan anda ubah dan tanya sijil mana yang ditunjuknya. Label dalam pemapar sijil mencampurkan subjek, pengeluar dan algoritma tandatangan, dan hanya satu daripadanya tergolong dalam pilihan identiti klien.
| What you inspected | What it controls | Does it choose the Mac certificate type? |
|---|---|---|
| Client leaf public key | The identity the Mac presents | Yes, this is the field's subject |
| Issuer signature algorithm | How the client certificate was signed | No |
| Gateway certificate | What the Mac validates as the peer | No, check it separately |
| IKE and ESP proposals | Algorithms for the tunnel | No, separate proposal settings |
Jika pemapar sijil menunjukkan tandatangan ECDSA daripada CA, itu menerangkan kunci tandatangan pengeluar. Kunci klien sendiri mungkin masih RSA, dan medan jenis harus mengikut kunci klien, bukan baris tandatangan. Kekeliruan tunggal ini menjelaskan banyak laporan "ECDSA dikonfigurasikan tetapi sambungan gagal". Bandingkan jenis kunci dalam daun dengan jenis yang dipilih dalam profil sebelum mengubah apa-apa.
Keputusan menjadi lebih mudah setelah daun dikenal pasti: ECDSA256 untuk kunci klien p-256, jenis lain yang disokong untuk kunci berbeza. Jika sijil klien dan kuncinya tidak sepadan, betulkan pasangan itu sebelum menukar profil VPN.
Sijil gerbang ialah keputusan berasingan
Gerbang mengemukakan sijilnya sendiri dan Mac mengesahkannya terhadap sauh kepercayaan dan nama yang dijangka. Sama ada sijil itu menggunakan ECDSA, RSA atau jenis kunci lain ialah sifat pelayan, bukan tetapan identiti klien.
Sokongan setempat untuk sijil klien ECDSA tidak membuktikan bahawa setiap sijil gerbang, lengkung atau konfigurasi pengesahan pelayan akan beroperasi bersama. Semak identiti pelayan, rantaiannya dan kaedah pengesahan IKE sebagai input berasingan, dan uji dengan profil yang benar-benar akan digunakan.
Jika sijil gerbang ialah masalahnya, gejala biasanya muncul semasa pengesahan rakan, bukan semasa pemilihan identiti. Baca peringkat kegagalan sebelum menukar jenis klien, kerana kegagalan kepercayaan dan ketidaksesuaian kunci klien tidak berkongsi pembetulan yang sama.
Tandatangan pengeluar dan kumpulan persetujuan kunci bukan jenis klien
X.509 menyimpan kunci awam subjek dan tandatangan pengeluar dalam medan berbeza. Maklumat kunci awam subjek menerangkan kunci dalam sijil; algoritma tandatangan menerangkan kunci CA dan operasi tandatangan. Hanya yang pertama sepadan dengan tetapan jenis sijil.
Cadangan IKE dan Child SA ialah paksi lain. Jenis sijil ECDSA bukan pilihan penyulitan ESP, dan menukar kumpulan persetujuan kunci tidak memilih jenis sijil. Profil boleh mempunyai cadangan yang sah dan jenis identiti yang salah, atau jenis identiti yang betul dan cadangan yang ditolak oleh rakan.
Asingkan tiga baris dalam rekod perubahan: sijil dan kunci identiti, input kepercayaan gerbang, dan algoritma cadangan. Menggabungkannya dalam satu nota "tetapan kripto" menjadikan kegagalan seterusnya mustahil untuk diatribusikan.
Sahkan keputusan dengan medan yang anda konfigurasikan
Semak identiti yang benar-benar dirujuk oleh profil, kemudian sahkan bahawa sijil pada rujukan itu mempunyai kunci awam yang dijangka dan kunci peribadi yang boleh digunakan. Jenis yang dipaparkan dalam UI, sijil yang dirujuk dan kunci pada peranti mesti sepadan.
Seterusnya sahkan input gerbang: nama pelayan yang dijangka, sauh kepercayaan dan kaedah pengesahan IKE. Akhir sekali, sambung dan baca di mana jabat tangan berhenti. Kegagalan sebelum pertukaran identiti menjauhkan daripada tetapan ini; kegagalan semasa pengesahan rakan menunjuk ke sisi gerbang.
Catat jenis yang dipilih, rujukan identiti dan subjek sijil gerbang dalam nota penggunaan. Kemas kini profil seterusnya boleh mengubah mana-mana daripadanya, dan tiga nilai bernama lebih cepat dibandingkan daripada tangkapan skrin panel tetapan.