Mac VPN प्रमाणपत्र: पहिचान छनोटकर्ता किन खाली रहन्छ
क्लाइन्टलाई आफ्नो निजी कुञ्जीसहित प्रमाणपत्र चाहिन्छ, त्यो पढ्ने भण्डारमा। पहिले पहिचान जाँच्नुहोस्, त्यसपछि गेटवेले स्वीकार्छ कि भनेर हेर्नुहोस्।
तपाईंले प्रमाणपत्र स्थापना गर्नुभयो, यो Keychain Access मा सजिलो नामसँग देखिन्छ, र VPN क्लाइन्टको पहिचान छनोटकर्ता अझै खाली छ। क्लाइन्ट प्रमाणपत्र खोजिरहेको छैन। यो पहिचान खोजिरहेको छ: स्वामित्व प्रमाणित गर्न सक्ने निजी कुञ्जीसँग जोडिएको प्रमाणपत्र, क्लाइन्टलाई पढ्न अनुमति भएको ठाउँमा भण्डारण गरिएको।
क्लाइन्टले माग्ने कुरा पहिचान हो
Apple को सुरक्षा ढाँचाले प्रमाणपत्र र पहिचानलाई फरक वस्तु मान्छ। प्रमाणपत्र सार्वजनिक डेटा हो। पहिचान भनेको त्यो प्रमाणपत्र र त्यसको निजी कुञ्जी हो, र चुनौती पूरा गर्न सक्ने पहिचानले मात्र हो। विश्वसनीय CA प्रमाणपत्रले भने क्लाइन्टलाई जारीकर्ता मूल्याङ्कन गर्न दिन्छ; यसले मेसिनलाई जारी गरिएको क्लाइन्ट प्रमाणपत्रको धारक बनाउँदैन।
| Item | What it can do | What it cannot do |
|---|---|---|
| CA or server certificate | Validate the gateway's chain | Authenticate this client |
| Client certificate without key | Nothing for authentication | Prove possession of anything |
| Identity (cert plus key) | Answer the authentication challenge | Guarantee the gateway accepts it |
त्यसैले .cer फाइल आयात गर्दा कहिल्यै प्रयोगयोग्य क्लाइन्ट पहिचान बन्दैन। फाइलमा सार्वजनिक सामग्री मात्र हुन्छ। नाम बदलेर वा विश्वास दिएर यो कुञ्जी-जोडी बन्दैन।
छनोटकर्ता खाली रहनुका तीन कारण
पहिलो निजी कुञ्जी नहुनु हो, जसको अर्थ दर्ता वा आयात प्रक्रियाले एउटै दिएन। दोस्रो क्लाइन्टले नहेर्ने भण्डार हो: प्रयोगकर्ता-स्तरको प्रोफाइल प्रयोगकर्ताको किचेनमा हेर्छ, र सिस्टम भण्डारमा राखिएको वस्तु यसलाई अदृश्य हुन सक्छ। तेस्रो उद्देश्य वा नीतिको मेलमिलाप नहुनु हो, जहाँ प्रमाणपत्र छ तर तैनाथीका नियमअनुसार क्लाइन्ट प्रमाणीकरणका लागि मान्य छैन।
security find-identity -v -p ssl-clientयसले प्रणालीले क्लाइन्ट प्रमाणीकरणका लागि मान्य ठान्ने पहिचानहरू सूचीबद्ध गर्छ। यदि गणना शून्य छ भने समस्या VPN क्लाइन्टभन्दा माथि छ र प्रोफाइल सम्पादनले त्यसलाई सुधार्दैन। यदि पहिचान यहाँ देखिन्छ तर क्लाइन्टमा देखिँदैन भने फरक क्लाइन्टको भण्डार वा दायरामा छ।
निजी कुञ्जी कहाँ बस्छ, र कसले प्रयोग गर्न सक्छ
तपाईंले Keychain Access मार्फत पहिचान आयात गर्दा, आयात संवादले लक्ष्य किचेन प्रस्ताव गर्छ। कुन लक्ष्य सही हो त्यो क्लाइन्टमा र प्रोफाइल प्रयोगकर्ता-स्तरको हो कि यन्त्र-स्तरको भन्नेमा निर्भर गर्छ। सिस्टम किचेन सिफारिस गर्ने पुरानो उत्तर सार्वभौमिक नियम होइन, र भण्डारबीच वस्तु प्रतिलिपि गर्नु मर्मत होइन।
System Roots विश्वास संग्रह हो। त्यहाँ प्रमाणपत्र राख्दा प्रणालीले कुन जारीकर्तालाई विश्वास गर्छ भन्ने बदलिन्छ; यसले निजी कुञ्जी बनाउँदैन, र यो पहिचान भण्डार होइन। छनोटकर्ता भर्न असम्बन्धित प्रमाणपत्रहरू सार्नु त्यस्तो मर्मत हो जसले मेसिनलाई स्थायी रूपमा विस्तारित विश्वास समूहसँग छोड्छ।
निजी कुञ्जीमा पहुँच छुट्टै नियन्त्रण हो। हरेक एप्लिकेसनलाई कुञ्जी प्रयोग गर्न अनुमति दिनु एउटा क्लाइन्टको छनोट समस्या समाधान गर्छ र त्यही क्षमता मेसिनका बाँकी सबैलाई दिन्छ। आवश्यक पर्ने क्लाइन्टलाई दिनुहोस्, र कुञ्जी हार्डवेयर-समर्थित छ कि निर्यात-अयोग्य भनी चिन्हित छ जाँच्नुहोस्; यदि त्यस्तै हो भने निर्यात गरिएको प्रतिको सट्टा समर्थित प्रदायक प्रयोग गर्नुपर्छ।
प्रोफाइलले प्रमाणपत्रतर्फ कसरी सङ्केत गर्छ
व्यवस्थित नेटिभ IKEv2 कन्फिगरेसनमा, प्रोफाइलले PayloadCertificateUUID मार्फत आफ्नो प्रमाणपत्र पेलोड सन्दर्भ गर्छ। सन्दर्भित पहिचान र त्यो कसरी उपलब्ध गराइयो भन्ने महत्त्वपूर्ण छ; प्रोफाइलमा देखिने नाम सम्पादन गर्दा गलत पेलोड वा कहिल्यै कुञ्जी नदिएको पेलोडतर्फ सङ्केत गर्ने सन्दर्भ सुधारिँदैन।
तेस्रो पक्षको प्रदायकले पूर्ण रूपमा फरक छनोट संयन्त्र प्रयोग गर्न सक्छ, जस्तै आफ्नै भण्डार वा प्रणाली सङ्केत। नेटिभ प्रोफाइलका अनुमान सार्नुको सट्टा त्यो प्रदायकको कागजात पढ्नुहोस्, र सन्दर्भलाई वास्तवमै स्थापित प्रोफाइलमा प्रमाणित गर्नुहोस्, व्यवस्थापन कन्सोलको मस्यौदामा होइन।
छनोट र स्वीकृति छुट्टाछुट्टै कोसेढुङ्गा हुन्
भरिएको छनोटकर्ता भन्नाले क्लाइन्टले पहिचान भेटेर प्रयोग गर्न सक्छ। गेटवेले त्यो स्वीकार्छ कि भन्नेबारे यसले केही भन्दैन। सर्भरले अझै जारीकर्ता, वैधता विन्डो र रद्दीकरण स्थिति जाँच्छ, र त्यो प्रमाणपत्रको खातासँगको म्यापिङ।
दुवै चरण स्पष्ट रूपमा, त्यही क्रममा परीक्षण गर्नुहोस्। पहिचान प्रस्ताव गरिएको पुष्टि गर्नुहोस्, जडान गर्नुहोस्, अनि गेटवेको मालिकलाई कुन प्रमाणपत्र प्रस्तुत भयो र कुन म्यापिङ नियमले त्यसलाई प्रयोग गर्यो भनी पुष्टि गर्न भन्नुहोस्। यदि क्लाइन्टले पहिचान प्रस्ताव गर्छ र सर्भरले अस्वीकार गर्छ भने बाँकी काम सर्भरतर्फ छ। Mac मा प्रमाणपत्र पुनः स्थापना गर्दा त्यो नतिजा बदलिँदैन, जतिपटक दोहोर्याए पनि।