Mac VPN-certificaat: welk account ziet de gateway?

Het profiel toont uw naam, het zichtbare label van het certificaat zegt iets anders, en het log van de gateway registreert een derde identificatie. Geen ervan liegt, en dat is precies het probleem: drie verschillende velden worden gelezen alsof ze één vraag beantwoorden. De verbinding presenteert een referentie, een IKEv2-identificatie en een account, en de gateway bepaalt welke daarvan wat autoriseert.

Drie identiteiten in één verbinding

De zichtbare profielnaam is een label voor mensen. Hij selecteert een verbinding en niets anders. Het certificaat is een referentie, en of het iets kan bewijzen hangt af van of de client de bijbehorende privésleutel heeft. Het accountveld is een bewering over een principal, en de server mag die aan een andere lokale identiteit koppelen.

Als de authenticatie mislukt, vraag dan op welke van de drie de fout betrekking heeft. Een geweigerde referentie, een onbekende identificatie en een uitgeschakeld account produceren verschillende berichten, en ze als één «certificaatprobleem» behandelen stuurt u naar de verkeerde console.

Lees de native velden naar hun taak

In een beheerde native IKEv2-configuratie scheidt Apples payload-referentie de waarden, en de authenticatiemethode bepaalt welke combinatie nodig is:

Een certificaat en een EAP-login kunnen verschillende rollen hebben in dezelfde verbinding. Forceer niet dat elk veld dezelfde tekst bevat alleen omdat een van hen dat doet, en ga er niet van uit dat het wijzigen van één de andere overschrijft. Een VPN-app van derden kan een heel ander model tonen; gebruik de gedocumenteerde identiteitskeuze ervan in plaats van native veldnamen erin over te brengen.

Een servercertificaat is geen clientidentiteit

Het certificaat dat de gateway valideert, is een vertrouwensanker. Het bewijst dat u de server hebt bereikt die u verwachtte. Een clientidentiteit is een ander object: het omvat toegang tot de privésleutel die bewijst dat de verbindende partij is wie zij zegt te zijn. Het hernoemen van een zichtbaar account kan het ene niet in het andere veranderen.

Hier gaat een goedbedoelde correctie mis. Het CA-certificaat van de gateway in de clientopslag importeren doet niets voor clientauthenticatie, en die vermelding het label van de gebruiker geven maakt er geen gebruikersidentiteit van. De twee objecten leven in verschillende delen van het profiel en beantwoorden verschillende vragen.

Volg de principal naar de mapping van de gateway

Bevestig waarvoor de referentie is uitgegeven: deze gebruiker, dit apparaat of een gedeelde rol. Het Mac-aanmeldaccount is niet automatisch die principal, en een certificaat dat van een andere machine is gekopieerd, behoudt de identiteit van de machine waarvoor het is uitgegeven.

Vergelijk daarna de werkelijke referentie, niet het label. Uitgever, serienummer en vingerafdruk laten u en de beheerder bevestigen dat u over hetzelfde object spreekt. Weergegeven namen zijn bewerkbaar en worden vaak gedupliceerd, wat ze de slechtst mogelijke identificatie tijdens een incident maakt.

De laatste stap is op de gateway. Vraag de eigenaar om één verbinding te correleren met de gepresenteerde identificaties en met de accountmappingregel die ze heeft verbruikt. Een label aan de clientzijde kan niet vaststellen wat de server heeft besloten, en een regel die een certificaat aan een uitgeschakeld account koppelt, zal falen terwijl elk veld aan de clientzijde correct lijkt.

Repareer de laag die de mismatch bezit

Als het profiel naar de verkeerde referentie wijst, corrigeer dan de verwijzing of de selectie. Als de referentie bij een andere principal hoort, doorloop dan de herregistratie bij de uitgever in plaats van labels te bewerken. Als de gateway een geldige referentie aan het verkeerde account koppelt, moet de policy-eigenaar de mapping corrigeren. Dat zijn drie verschillende wijzigingen met drie verschillende goedkeurders.

Vernieuwing verdient dezelfde zorg. Het certificaat vervangen, het zichtbare label hernoemen en iemand tussen accountsystemen verplaatsen beïnvloeden de mapping niet noodzakelijk op dezelfde manier. Noteer welke van de drie u hebt gewijzigd, want de volgende storing ziet er vanaf de client identiek uit en in het gatewaylog anders.

Deel alleen de minimale openbare identificaties die support nodig heeft. Een privésleutel of een volledige identiteitsbundel maakt nooit deel uit van die uitwisseling, hoe handig het de diagnose ook zou maken.