Mac VPN-sertifikat: hvilken konto ser gatewayen?

Profilen viser navnet ditt, sertifikatets synlige etikett sier noe annet, og gatewayens logg registrerer en tredje identifikator. Ingen av dem lyver, og det er nettopp problemet: tre forskjellige felt leses som om de svarte på ett spørsmål. Tilkoblingen legger fram legitimasjonsdata, en IKEv2-identifikator og en konto, og gatewayen avgjør hvilken av dem som autoriserer hva.

Tre identiteter i én tilkobling

Det synlige profilnavnet er en etikett for mennesker. Det velger en tilkobling og ingenting annet. Sertifikatet er legitimasjonsdata, og om det kan bevise noe avhenger av om klienten har den samsvarende private nøkkelen. Kontofeltet er en påstand om en principal, og serveren står fritt til å mappe det til en annen lokal identitet.

Når autentiseringen mislykkes, spør hvilken av de tre feilen viser til. Avviste legitimasjonsdata, en ukjent identifikator og en deaktivert konto gir forskjellige meldinger, og å behandle dem som ett «sertifikatproblem» sender deg til feil konsoll.

Les de opprinnelige feltene etter oppgaven deres

I en administrert opprinnelig IKEv2-konfigurasjon skiller Apples nyttelastreferanse verdiene, og autentiseringsmetoden avgjør hvilken kombinasjon som kreves:

Et sertifikat og en EAP-innlogging kan ha ulike roller i samme tilkobling. Ikke tving hvert felt til å inneholde samme tekst bare fordi ett av dem gjør det, og ikke anta at endring av ett overstyrer de andre. En VPN-app fra tredjepart kan vise en helt annen modell; bruk dens dokumenterte identitetsvalg i stedet for å overføre opprinnelige feltnavn dit.

Et serversertifikat er ikke en klientidentitet

Sertifikatet som validerer gatewayen, er et tillitsanker. Det beviser at du nådde serveren du forventet. En klientidentitet er et annet objekt: den omfatter tilgang til den private nøkkelen som beviser at parten som kobler til, er den den utgir seg for å være. Å gi en synlig konto nytt navn kan ikke gjøre det ene til det andre.

Det er her en velment rettelse går galt. Import av gatewayens CA-sertifikat til klientlageret gjør ingenting for klientautentiseringen, og å merke den oppføringen med brukerens navn gjør den ikke til en brukeridentitet. De to objektene lever i forskjellige deler av profilen og svarer på forskjellige spørsmål.

Følg principalen til gatewayens mapping

Bekreft hva legitimasjonsdataene ble utstedt til: denne brukeren, denne enheten eller en delt rolle. Mac-innloggingskontoen er ikke automatisk den principalen, og et sertifikat kopiert fra en annen maskin beholder identiteten til maskinen det ble utstedt til.

Sammenlign deretter selve legitimasjonsdataene, ikke etiketten. Utsteder, serienummer og fingeravtrykk lar deg og administratoren bekrefte at dere snakker om samme objekt. Viste navn kan redigeres og dupliseres ofte, noe som gjør dem til den dårligste tenkelige identifikatoren under en hendelse.

Det siste trinnet er på gatewayen. Be eieren korrelere én tilkobling med identifikatorene som ble lagt fram, og med kontomappingregelen som brukte dem. En etikett på klientsiden kan ikke fastslå hva serveren bestemte, og en regel som mapper et sertifikat til en deaktivert konto, vil feile mens alle felt på klientsiden ser riktige ut.

Reparer laget som eier avviket

Hvis profilen peker på feil legitimasjonsdata, rett referansen eller valget. Hvis legitimasjonsdataene tilhører en annen principal, gå gjennom utstederens nyregistrering i stedet for å redigere etiketter. Hvis gatewayen binder gyldige legitimasjonsdata til feil konto, må dens policyeier rette mappingen. Det er tre forskjellige endringer med tre forskjellige godkjennere.

Fornyelse fortjener samme omhu. Å bytte sertifikatet, gi dets synlige etikett nytt navn og flytte en person mellom kontosystemer påvirker ikke nødvendigvis mappingen på samme måte. Noter hvilken av de tre du endret, for den neste feilen vil se identisk ut fra klienten og annerledes ut i gatewayens logg.

Del bare de minimale offentlige identifikatorene som support trenger. En privat nøkkel eller en fullstendig identitetspakke er aldri en del av den utvekslingen, uansett hvor praktisk det ville gjøre diagnostikken.