Sijil VPN Mac: mengapa pemilih identiti kekal kosong
Klien memerlukan sijil dengan kunci peribadinya, dalam stor yang dibacanya. Semak identiti dahulu, kemudian sama ada gateway menerimanya.
Anda memasang sijil, ia muncul dalam Keychain Access dengan nama mesra, dan pemilih identiti klien VPN masih kosong. Klien tidak mencari sijil. Ia mencari identiti: sijil yang dipasangkan dengan kunci peribadi yang dapat membuktikan pemilikan, disimpan di tempat klien dibenarkan membacanya.
Apa yang klien minta ialah identiti
Rangka kerja keselamatan Apple menganggap sijil dan identiti sebagai objek yang berbeza. Sijil ialah data awam. Identiti ialah sijil itu bersama kunci peribadinya, dan hanya identiti boleh melengkapkan cabaran. Sijil CA yang dipercayai pula membolehkan klien menilai pengeluar; ia tidak menjadikan mesin sebagai pemegang kelayakan klien yang dikeluarkan.
| Item | What it can do | What it cannot do |
|---|---|---|
| CA or server certificate | Validate the gateway's chain | Authenticate this client |
| Client certificate without key | Nothing for authentication | Prove possession of anything |
| Identity (cert plus key) | Answer the authentication challenge | Guarantee the gateway accepts it |
Itulah sebabnya mengimport fail .cer tidak pernah menghasilkan identiti klien yang boleh digunakan. Fail itu hanya membawa bahan awam, dan seberapa banyak pun penamaan semula atau kepercayaan tidak menjadikannya pasangan kunci.
Tiga sebab pemilih kekal kosong
Yang pertama ialah kunci peribadi yang tiada, bermakna proses pendaftaran atau import tidak menyerahkannya. Yang kedua ialah stor yang tidak diperiksa klien: profil berskop pengguna melihat dalam rantai kunci pengguna, dan item yang diletakkan dalam stor sistem mungkin tidak kelihatan kepadanya. Yang ketiga ialah ketidakpadanan tujuan atau dasar, di mana sijil itu wujud tetapi tidak sah untuk pengesahan klien mengikut peraturan penggunaan.
security find-identity -v -p ssl-clientIni menyenaraikan identiti yang dianggap sah oleh sistem untuk pengesahan klien. Jika bilangannya sifar, masalahnya berada di hulu klien VPN dan tiada penyuntingan profil akan membaikinya. Jika identiti muncul di sini tetapi tidak dalam klien, perbezaannya ialah stor atau skop klien.
Di mana kunci peribadi berada, dan siapa yang boleh menggunakannya
Apabila anda mengimport identiti melalui Keychain Access, dialog import menawarkan rantai kunci destinasi. Destinasi mana yang betul bergantung pada klien dan sama ada profil itu berskop pengguna atau peranti. Jawapan lama yang mengesyorkan rantai kunci sistem bukan peraturan universal, dan menyalin item antara stor bukan pembaikan.
System Roots ialah koleksi kepercayaan. Meletakkan sijil di sana mengubah pengeluar mana yang dipercayai sistem; ia tidak mencipta kunci peribadi, dan ia bukan stor identiti. Memindahkan sijil yang tidak berkaitan untuk mengisi pemilih ialah jenis pembaikan yang meninggalkan mesin dengan set kepercayaan yang diperluas secara kekal.
Akses kepada kunci peribadi ialah kawalan berasingan. Memberi setiap aplikasi kebenaran menggunakan kunci menyelesaikan masalah pemilihan satu klien dan menyerahkan keupayaan yang sama kepada segala-galanya di mesin. Berikannya kepada klien yang memerlukannya, dan semak sama ada kunci itu disokong perkakasan atau ditandakan tidak boleh dieksport; jika ya, penyedia yang disokong mesti digunakan dan bukan salinan yang dieksport.
Bagaimana profil menunjuk kepada kelayakan
Dalam konfigurasi IKEv2 asli yang diurus, profil merujuk muatan kelayakannya melalui PayloadCertificateUUID. Identiti yang dirujuk dan cara ia disediakan adalah yang penting; menyunting nama paparan dalam profil tidak membaiki rujukan yang menunjuk kepada muatan yang salah atau kepada muatan yang tidak pernah menyerahkan kunci.
Penyedia pihak ketiga mungkin menggunakan mekanisme pemilihan yang sama sekali berbeza, seperti stornya sendiri atau gesaan sistem. Baca dokumentasi penyedia itu dan jangan pindahkan andaian profil asli, dan sahkan rujukan dalam profil yang benar-benar dipasang, bukan dalam draf di konsol pengurusan.
Pemilihan dan penerimaan ialah pencapaian berasingan
Pemilih yang terisi bermakna klien boleh mencari dan menggunakan identiti. Ia tidak mengatakan apa-apa tentang sama ada gateway akan menerimanya. Pelayan masih menyemak pengeluar, tetingkap kesahihan, status pembatalan dan pemetaan kelayakan itu kepada akaun.
Uji kedua-dua peringkat secara eksplisit, dalam urutan itu. Sahkan identiti ditawarkan, sambung, kemudian minta pemilik gateway mengesahkan kelayakan mana yang dibentangkan dan peraturan pemetaan mana yang menggunakannya. Jika klien menawarkan identiti dan pelayan menolaknya, kerja yang tinggal berada di pihak pelayan. Memasang semula sijil pada Mac tidak akan mengubah hasil itu, tidak kira berapa kali ia diulang.