Mac IKEv2 ECDSA: liema tip ta' ċertifikat jappartjeni lill-klijent?
Fuq Mac, ECDSA256 fis-settings tal-IKEv2 jiddeskrivi ċ-ċertifikat tal-identità lokali, mhux il-gateway jew il-firma tal-emittent. Aqra kull rwol qabel tagħżel.
Fuq macOS, l-għażla tal-ECDSA f'setting tal-klijent IKEv2 twieġeb mistoqsija dejqa: liema ċertifikat jipprova l-identità tal-Mac. Ma jiddeskrivix iċ-ċertifikat tal-gateway, il-firma li ħarġet iċ-ċertifikat tal-klijent, jew il-proposta tal-kriptaġġ għat-tunnel. Li tittratta dawn l-erba' rwoli bħala mistoqsija waħda ta' kompatibilità hija r-raġuni għaliex setting lokali korrett jiġi akkużat bi skonnessjoni fuq in-naħa tas-server. Id-deċiżjoni hija żgħira, iżda l-evidenza użata biex tittieħed trid tkun preċiża.
Il-qasam isemmi ċertifikat wieħed: l-identità lokali
In-Network Extension API ta' Apple tesponi tip ta' ċertifikat għall-kredenzjali tal-klijent, inkluż NEVPNIKEv2CertificateType.ECDSA256, dokumentat bħala t-tip ta' ċertifikat ECDSA p-256. Il-proprjetà tapplika għaċ-ċertifikat fornita permezz ta' identityReference jew identityData.
Dan ifisser li d-deċiżjoni hija dwar iċ-ċertifikat li l-Mac jippreżenta, flimkien mal-key privata li tmur miegħu. Agħżel it-tip li jaqbel mal-key pubblika ta' dak iċ-ċertifikat tal-werqa u forni l-identità permezz tal-mekkaniżmu appoġġat. Jekk il-Mac m'għandux key privata użabbli għall-identità, l-għażla tat-tip ma tistax issalva l-konnessjoni.
Il-profilijiet immaniġġjati jieħdu l-istess deċiżjoni permezz ta' CertificateType tal-payload tal-IKEv2, flimkien ma' referenza taċ-ċertifikat bħal PayloadCertificateUUID. Dawn il-qasmiet għandhom prerekwiżiti u skema għall-verżjoni tal-OS fil-mira; valur tat-tip nieqes mill-kuntest ikkupjat fi profil ma jistax jiġi installat, u t-tieqa tas-settings tista' ma turix kull għażla tal-API. Iċċekkja l-prerekwiżiti tal-payload għal dik il-verżjoni qabel l-użu.
Iddeċiedi bir-rwol, mhux bit-tikketta taċ-ċertifikat
Aqra l-qasam li se tbiddel u staqsi liema ċertifikat jindika. It-tikketti fi viewer taċ-ċertifikati jħalltu s-suġġett, l-emittent u l-algoritmu tal-firma, u wieħed biss minnhom jappartjeni għall-għażla tal-identità tal-klijent.
| What you inspected | What it controls | Does it choose the Mac certificate type? |
|---|---|---|
| Client leaf public key | The identity the Mac presents | Yes, this is the field's subject |
| Issuer signature algorithm | How the client certificate was signed | No |
| Gateway certificate | What the Mac validates as the peer | No, check it separately |
| IKE and ESP proposals | Algorithms for the tunnel | No, separate proposal settings |
Jekk il-viewer taċ-ċertifikati juri firma ECDSA mis-CA, dik tiddeskrivi l-key tal-firma tal-emittent. Il-key tal-klijent stess tista' għadha RSA, u l-qasam tat-tip għandu jsegwi l-key tal-klijent mhux il-linja tal-firma. Dan l-uniku konfużjoni jispjega bosta rapporti tat-tip "ECDSA huwa kkonfigurat imma l-konnessjoni tfalli". Qabbel it-tip tal-key fil-werqa mat-tip magħżul fil-profil qabel ma tbiddel xi ħaġa.
Id-deċiżjoni ssir aktar sempliċi ladarba l-werqa tiġi identifikata: ECDSA256 għal key tal-klijent p-256, tip ieħor appoġġat għal key differenti. Jekk iċ-ċertifikat tal-klijent u l-key tiegħu ma jaqblux, sewwi dik il-par qabel ma tbiddel il-profil tal-VPN.
Iċ-ċertifikat tal-gateway huwa deċiżjoni separata
Il-gateway jippreżenta ċ-ċertifikat tiegħu stess u l-Mac jivvalida kontra ankra tal-fiduċja u isem mistenni. Jekk dak iċ-ċertifikat jużax ECDSA, RSA jew tip ieħor ta' key hija proprjetà tas-server, mhux tas-setting tal-identità tal-klijent.
L-appoġġ lokali għal ċertifikat tal-klijent ECDSA ma jipprovax li kull ċertifikat tal-gateway, kurva jew konfigurazzjoni tal-awtentikazzjoni tas-server se jaħdmu flimkien. Iċċekkja l-identità tas-server, il-katina tiegħu u l-metodu tal-awtentikazzjoni IKE bħala inputs separati, u ittestja bil-profil li se jiġi effettivament użat.
Jekk iċ-ċertifikat tal-gateway huwa l-problema, is-sintomu normalment jidher waqt il-validazzjoni tal-peer mhux fl-għażla tal-identità. Aqra l-istadju tal-falliment qabel ma tbiddel it-tip tal-klijent, għax falliment tal-fiduċja u skonnessjoni tal-key tal-klijent m'għandhomx l-istess tislija.
Il-firma tal-emittent u l-grupp tal-qbil tal-keys mhumiex it-tip tal-klijent
X.509 iżomm il-key pubblika tas-suġġett u l-firma tal-emittent fi qasmiet differenti. L-informazzjoni tal-key pubblika tas-suġġett tiddeskrivi l-key fiċ-ċertifikat; l-algoritmu tal-firma jiddeskrivi l-key tas-CA u l-operazzjoni tal-firma. Biss l-ewwel jaqbel mas-setting tat-tip taċ-ċertifikat.
Il-proposti tal-IKE u Child SA huma assieħor. Tip ta' ċertifikat ECDSA mhuwiex għażla tal-kriptaġġ ESP, u li tbiddel il-grupp tal-qbil tal-keys ma jagħżilx tip ta' ċertifikat. Profil jista' jkollu proposti validi u t-tip tal-identità ħażin, jew it-tip tal-identità t-tajjeb u proposta li l-peer jirrifjuta.
Żomm it-tliet linji separati fir-rekord tal-bidliet: ċertifikat u key tal-identità, inputs tal-fiduċja tal-gateway, u algoritmi tal-proposti. Li tgħaqqadhom f'nota waħda "settings kripto" jagħmel il-falliment li jmiss impossibbli li jiġi attribwit.
Ivverifika d-deċiżjoni bil-qasmiet li kkonfigurajt
Iċċekkja l-identità li l-profil verament jirreferi għaliha, imbagħad ikkonferma li ċ-ċertifikat f'dik ir-referenza għandu l-key pubblika mistennija u key privata użabbli. It-tip muri fl-interface, iċ-ċertifikat referenzjat u l-key fuq l-apparat iridu jaqblu.
Sussegwentement ikkonferma l-inputs tal-gateway: l-isem tas-server mistenni, l-ankra tal-fiduċja u l-metodu tal-awtentikazzjoni IKE. Fl-aħħar, qabbad u aqra fejn jieqaf il-handshake. Falliment qabel l-iskambju tal-identità jwassal 'il bogħod minn dan is-setting; falliment fil-validazzjoni tal-peer jindika n-naħa tal-gateway.
Irreġistra t-tip magħżul, ir-referenza tal-identità u s-suġġett taċ-ċertifikat tal-gateway fin-noti tal-użu. L-aġġornament tal-profil li jmiss jista' jbiddel xi wieħed minnhom, u tliet valuri msemmija jitqabblu aktar malajr minn screenshot ta' pannell tas-settings.