Ċertifikat VPN tal-Mac: liema kont jara l-gateway?
It-tikketta tal-profil, il-kredenzjali u l-qasam tal-kont iwieġbu mistoqsijiet differenti. Segwi l-prinċipal sal-mapping tal-gateway qabel ma tibdel isem xejn.
Il-profil juri ismek, it-tikketta viżibbli taċ-ċertifikat tgħid xi ħaġa oħra, u r-reġistru tal-gateway jirrekordja t-tielet identifikatur. Ħadd minnhom mhu qed jigdeb, u dan huwa l-problema: tliet oqsma differenti qed jinqraw bħallikieku qed iwieġbu mistoqsija waħda. Il-konnessjoni tippreżenta kredenzjali, identifikatur IKEv2 u kont, u l-gateway jiddeċiedi liema minnhom jawtorizza xiex.
Tliet identitajiet f'konnessjoni waħda
L-isem viżibbli tal-profil huwa tikketta għall-bnedmin. Huwa jagħżel konnessjoni u xejn aktar. Iċ-ċertifikat huwa kredenzjali, u jekk jistax jipprova xi ħaġa jiddependi minn jekk il-klijent għandux il-muftieħ privat li jaqbel. Il-qasam tal-kont huwa talba dwar prinċipal, u s-server huwa ħieles li jimmappjaha għal identità lokali differenti.
Meta l-awtentikazzjoni tfalli, staqsi liema mit-tlieta tirreferi għalih l-iżball. Kredenzjali miċħuda, identifikatur mhux magħruf u kont diżattivat jipproduċu messaġġi differenti, u li tittrattahom bħala «problema ta' ċertifikat» waħda jibgħatek lejn il-konsol żbaljat.
Aqra l-oqsma nattivi skont ix-xogħol tagħhom
F'konfigurazzjoni IKEv2 nattiva ġestita, ir-referenza tal-payload tal-Apple tissepara l-valuri, u l-metodu ta' awtentikazzjoni jiddeċiedi liema kombinazzjoni hija meħtieġa:
| Field | Identifies | Common misreading |
|---|---|---|
| AuthName | Username for the configured arrangement | Assuming it is the certificate subject |
| LocalIdentifier | IKEv2 client identifier | Assuming it must equal the username |
| PayloadCertificateUUID | Referenced credential payload | Assuming any installed certificate will do |
Ċertifikat u login EAP jistgħu jkollhom rwoli distinti fl-istess konnessjoni. Toħloqx pressioni fuq kull qasam biex iżomm l-istess test biss għax wieħed minnhom jagħmel hekk, u tassumix li tibdil ta' wieħed jissostitwixxi l-oħrajn. App VPN ta' terzi tista' turi mudell kompletament differenti; uża l-għażla tal-identità dokumentata tagħha minflok ma ġġorr ismijiet tal-oqsma nattivi fiha.
Ċertifikat tas-server mhuwiex identità tal-klijent
Iċ-ċertifikat li jivvalida l-gateway huwa ankra ta' fiduċja. Jipprova li wasalt għas-server li kont qed tistenna. L-identità tal-klijent hija oġġett differenti: tinkludi aċċess għall-muftieħ privat li jipprova li l-parti li qed tgħaqqad hija dik li tgħid li hi. Tibdil ta' isem ta' kont viżibbli ma jistax ibiddel waħda fl-oħra.
Hawnhekk tiġri ħażin korrezzjoni b'kunsill tajjeb. L-importazzjoni taċ-ċertifikat CA tal-gateway fil-maħżen tal-klijent ma tagħmel xejn għall-awtentikazzjoni tal-klijent, u li ttikketta dik id-dħul bl-isem tal-utent ma tagħmilhiex identità tal-utent. Iż-żewġ oġġetti jgħixu f'partijiet differenti tal-profil u jwieġbu mistoqsijiet differenti.
Segwi l-prinċipal sal-mapping tal-gateway
Ikkonferma għal xiex inħarġet il-kredenzjali: dan l-utent, dan l-apparat jew rwol kondiviż. Il-kont tal-login tal-Mac mhuwiex awtomatikament dak il-prinċipal, u ċertifikat ikkupjat minn magna oħra jżomm l-identità tal-magna li nħareġ għaliha.
Imbagħad qabbel il-kredenzjali reali, mhux it-tikketta. Emittent, numru tas-serje u marka tas-swaba' jippermettu lilek u lill-amministratur tikkonferma li qed titkellem dwar l-istess oġġett. L-ismijiet murija huma editabbli u spiss jiġu duplikati, li jagħmilhom l-agħar identifikatur possibbli waqt inċident.
L-aħħar pass huwa fuq il-gateway. Itlob lill-proprjetarju tiegħu jikkorrelata konnessjoni waħda mal-identifikaturi ppreżentati u mar-regola tal-mapping tal-kontijiet li kkunsmathom. Tikketta fuq il-ġenb tal-klijent ma tistax tistabbilixxi x'iddeċieda s-server, u regola li timmappja ċertifikat għal kont diżattivat tfalli waqt li l-oqsma kollha fuq il-ġenb tal-klijent jidhru korretti.
Sewwi s-saff li għandu dan in-nuqqas ta' qbil
Jekk il-profil jindika l-kredenzjali żbaljata, ikkoreġi r-referenza jew l-għażla tagħha. Jekk il-kredenzjali tappartjeni għal prinċipal ieħor, għaddi mir-reġistrazzjoni mill-ġdid tal-emittent minflok ma teditja t-tikketti. Jekk il-gateway jorbot kredenzjali valida mal-kont żbaljat, il-proprjetarju tal-politika tiegħu għandu jissewwi l-mapping. Dawn huma tliet bidliet differenti bi tliet approvaturi differenti.
It-tiġdid jistħoqqlu l-istess kura. Li tibdel iċ-ċertifikat, li tbiddel isem it-tikketta viżibbli tiegħu u li ċċaqlaq persuna bejn sistemi tal-kontijiet mhux bilfors jaffettwaw il-mapping bl-istess mod. Innota liema mit-tlieta bdejt, għax il-falliment li jmiss jidher identiku mill-klijent u differenti fir-reġistru tal-gateway.
Aqsam biss l-identifikaturi pubbliċi minimi li s-support għandu bżonn. Muftieħ privat jew pakkett sħiħ tal-identità qatt mhuwa parti minn dak l-iskambju, kemm ikun konvenjenti għad-dijanjożi.