Mac VPN-sertifikat: kva konto ser gatewayen?

Profilen viser namnet ditt, den synlege etiketten på sertifikatet seier noko anna, og loggen i gatewayen registrerer ein tredje identifikator. Ingen av dei lyg, og det er nettopp problemet: tre ulike felt blir lesne som om dei svarte på eitt spørsmål. Tilkoplinga legg fram legitimasjonsdata, ein IKEv2-identifikator og ein konto, og gatewayen avgjer kven av dei som autoriserer kva.

Tre identitetar i éi tilkopling

Det synlege profilnamnet er ein etikett for menneske. Det vel ei tilkopling og ingenting anna. Sertifikatet er legitimasjonsdata, og om det kan prova noko avheng av om klienten har den samsvarande private nøkkelen. Kontofeltet er ein påstand om ein principal, og serveren står fritt til å kartleggja det til ein annan lokal identitet.

Når autentiseringa mislukkast, spør kven av dei tre feilen viser til. Avviste legitimasjonsdata, ein ukjend identifikator og ein deaktivert konto gir ulike meldingar, og å handsame dei som eitt «sertifikatproblem» sender deg til feil konsoll.

Les dei opphavlege felta etter oppgåva deira

I ein administrert opphavleg IKEv2-konfigurasjon skil Apples nyttelastreferanse verdiane, og autentiseringsmetoden avgjer kva kombinasjon som krevst:

Eit sertifikat og ei EAP-innlogging kan ha ulike roller i same tilkopling. Ikkje tving kvart felt til å halde same tekst berre fordi eitt av dei gjer det, og ikkje gå ut frå at endring av eitt overstyrer dei andre. Ein VPN-app frå tredjepart kan visa ein heilt annan modell; bruk det dokumenterte identitetsvalet hans i staden for å føre opphavlege feltnamn dit.

Eit serversertifikat er ikkje ein klientidentitet

Sertifikatet som validerer gatewayen, er eit tillitsanker. Det beviser at du nådde serveren du forventa. Ein klientidentitet er eit anna objekt: det omfattar tilgang til den private nøkkelen som beviser at parten som koplar til, er den han gir seg ut for å vere. Å gi ein synleg konto nytt namn kan ikkje gjere det eine til det andre.

Det er her ei velmeint retting går gale. Import av CA-sertifikatet til gatewayen til klientlageret gjer ingenting for klientautentiseringa, og å merkje den oppføringa med brukarnamnet gjer henne ikkje til ein brukaridentitet. Dei to objekta lever i ulike delar av profilen og svarar på ulike spørsmål.

Følg principalen til kartlegginga i gatewayen

Stadfest kva legitimasjonsdataa vart utferda til: denne brukaren, denne eininga eller ei delt rolle. Mac-innloggingskontoen er ikkje automatisk den principalen, og eit sertifikat kopiert frå ein annan maskin held på identiteten til maskinen det vart utferda til.

Samanlikn deretter sjølve legitimasjonsdataa, ikkje etiketten. Utferdar, serienummer og fingeravtrykk lèt deg og administratoren stadfeste at de snakkar om same objektet. Viste namn kan redigerast og blir ofte dupliserte, noko som gjer dei til den dårlegaste tenkjelege identifikatoren under ei hending.

Det siste steget er på gatewayen. Be eigaren korrelere éi tilkopling med identifikatorane som vart lagde fram, og med kontokartleggingsregelen som brukte dei. Ein etikett på klientsida kan ikkje fastslå kva serveren bestemte, og ein regel som kartlegg eit sertifikat til ein deaktivert konto, vil mislukkast medan alle felt på klientsida ser riktige ut.

Reparer laget som eig avviket

Viss profilen peikar på feil legitimasjonsdata, rett referansen eller valet. Viss legitimasjonsdataa høyrer til ein annan principal, gå gjennom nyregistreringa hos utferdaren i staden for å redigere etikettar. Viss gatewayen bind gyldige legitimasjonsdata til feil konto, må policyeigaren rette kartlegginga. Det er tre ulike endringar med tre ulike godkjenningar.

Fornying fortener same omsuta. Å bytte sertifikatet, gi den synlege etiketten nytt namn og flytte ein person mellom kontosystem påverkar ikkje nødvendigvis kartlegginga på same måte. Noter kven av dei tre du endra, for den neste feilen vil sjå identisk ut frå klienten og annleis ut i loggen til gatewayen.

Del berre dei minimale offentlege identifikatorane som støtta treng. Ein privat nøkkel eller ein fullstendig identitetspakke er aldri del av den utvekslinga, same kor praktisk det ville gjere diagnostikken.