Sijil VPN Mac: akaun mana yang dilihat oleh gerbang?

Profil memaparkan nama anda, label sijil yang kelihatan menyatakan sesuatu yang lain, dan log gerbang merekodkan pengecam ketiga. Tiada satu pun yang berbohong, dan itulah masalahnya: tiga medan berbeza dibaca seolah-olah menjawab satu soalan. Sambungan mengemukakan kelayakan, pengecam IKEv2 dan akaun, dan gerbang menentukan yang mana antaranya membenarkan apa.

Tiga identiti dalam satu sambungan

Nama profil yang kelihatan ialah label untuk manusia. Ia memilih sambungan dan tidak lebih. Sijil ialah kelayakan, dan sama ada ia boleh membuktikan sesuatu bergantung pada sama ada klien memegang kunci peribadi yang sepadan. Medan akaun ialah dakwaan tentang prinsipal, dan pelayan bebas memetakannya kepada identiti tempatan yang berbeza.

Apabila pengesahan gagal, tanyakan yang mana antara ketiga-tiganya rujukan ralat itu. Kelayakan yang ditolak, pengecam yang tidak dikenali dan akaun yang dilumpuhkan menghasilkan mesej berbeza, dan memperlakukannya sebagai satu «masalah sijil» menghantar anda ke konsol yang salah.

Baca medan asli mengikut tugasnya

Dalam konfigurasi IKEv2 asli terurus, rujukan muatan Apple memisahkan nilai, dan kaedah pengesahan menentukan gabungan mana yang diperlukan:

Sijil dan log masuk EAP boleh mempunyai peranan berbeza dalam sambungan yang sama. Jangan paksa setiap medan memegang teks yang sama hanya kerana salah satunya berbuat demikian, dan jangan anggap perubahan satu mengatasi yang lain. Aplikasi VPN pihak ketiga mungkin memaparkan model yang sama sekali berbeza; gunakan pemilihan identiti terdokumentasinya dan bukan membawa nama medan asli ke dalamnya.

Sijil pelayan bukan identiti klien

Sijil yang mengesahkan gerbang ialah sauh kepercayaan. Ia membuktikan bahawa anda mencapai pelayan yang anda jangkakan. Identiti klien ialah objek yang berbeza: ia merangkumi akses kepada kunci peribadi yang membuktikan bahawa pihak yang bersambung ialah siapa yang didakwanya. Menukar nama akaun yang kelihatan tidak boleh menjadikan satu sebagai yang lain.

Di sinilah pembetulan yang berniat baik menjadi salah. Mengimport sijil CA gerbang ke dalam stor klien tidak melakukan apa-apa untuk pengesahan klien, dan melabel entri itu dengan nama pengguna tidak menjadikannya identiti pengguna. Kedua-dua objek itu hidup dalam bahagian berbeza profil dan menjawab soalan yang berbeza.

Ikuti prinsipal sehingga pemetaan gerbang

Sahkan untuk apa kelayakan itu dikeluarkan: pengguna ini, peranti ini atau peranan dikongsi. Akaun log masuk Mac bukan secara automatik prinsipal itu, dan sijil yang disalin dari mesin lain mengekalkan identiti mesin yang ia dikeluarkan untuknya.

Kemudian bandingkan kelayakan sebenar, bukan label. Pengeluar, nombor siri dan cap jari membolehkan anda dan pentadbir mengesahkan bahawa anda membincangkan objek yang sama. Nama paparan boleh diedit dan sering diduplikasi, yang menjadikannya pengecam terburuk yang mungkin semasa insiden.

Langkah terakhir ada pada gerbang. Minta pemiliknya mengaitkan satu sambungan dengan pengecam yang dikemukakan dan dengan peraturan pemetaan akaun yang menggunakannya. Label di sisi klien tidak dapat menetapkan apa yang pelayan putuskan, dan peraturan yang memetakan sijil kepada akaun yang dilumpuhkan akan gagal walaupun semua medan di sisi klien kelihatan betul.

Betulkan lapisan yang memiliki ketidakpadanan itu

Jika profil menunjuk kepada kelayakan yang salah, betulkan rujukan atau pemilihannya. Jika kelayakan itu milik prinsipal lain, lalui pendaftaran semula pengeluar dan bukan menyunting label. Jika gerbang mengikat kelayakan yang sah kepada akaun yang salah, pemilik dasarnya mesti membetulkan pemetaan. Itu tiga perubahan berbeza dengan tiga pelulus berbeza.

Pembaharuan wajar mendapat penjagaan yang sama. Menukar sijil, menukar nama labelnya yang kelihatan dan memindahkan seseorang antara sistem akaun tidak semestinya mempengaruhi pemetaan dengan cara yang sama. Catat yang mana antara ketiga-tiganya anda tukar, kerana kegagalan seterusnya akan kelihatan serupa dari klien dan berbeza dalam log gerbang.

Kongsi hanya pengecam awam minimum yang diperlukan oleh sokongan. Kunci peribadi atau himpunan identiti lengkap tidak pernah menjadi sebahagian daripada pertukaran itu, walau berapa mudah pun ia menjadikan diagnosis.