Mac VPN-sertifikat: kvifor identitetsveljaren blir ståande tom

Du installerte sertifikatet, det viser seg i Keychain Access med eit venleg namn, og identitetsveljaren til VPN-klienten er framleis tom. Klienten leitar ikkje etter eit sertifikat. Han leitar etter ein identitet: eit sertifikat kopla til den private nøkkelen som kan bevise eigarskap, lagra der klienten har lov til å lese det.

Det klienten ber om, er ein identitet

Sikkerheitsrammeverket til Apple handsamar eit sertifikat og ein identitet som ulike objekt. Eit sertifikat er offentlege data. Ein identitet er det sertifikatet pluss den private nøkkelen, og berre identiteten kan fullføre ei utfordring. Eit klarert CA-sertifikat lèt på si side ein klient vurdere ein utsendar; det gjer ikkje maskina til innehavar av ein utsend klientlegitimasjon.

Derfor gir import av ei .cer-fil aldri ein brukbar klientidentitet. Fila inneheld berre offentleg materiale, og inga omdøyping eller tillit gjer henne til eit nøkkelpar.

Tre grunnar til at veljaren blir ståande tom

Den første er ein manglande privat nøkkel, som tyder at registrerings- eller importprosessen ikkje leverte ein. Den andre er eit lager klienten ikkje undersøkjer: ein profil med brukaromfang ser i nøkkelringen til brukaren, og eit element plassert i eit systemlager kan vere usynleg for han. Den tredje er eit mishøve i føremål eller policy, der sertifikatet finst, men ikkje er gyldig for klientautentisering etter reglane for utrullinga.

security find-identity -v -p ssl-client

Dette listar identitetane systemet reknar som gyldige for klientautentisering. Viss talet er null, ligg problemet før VPN-klienten, og inga profilendring vil rette det. Viss identiteten viser seg her men ikkje i klienten, er skilnaden lageret eller omfanget til klienten.

Kvar den private nøkkelen bur, og kven som kan bruke han

Når du importerer ein identitet via Keychain Access, tilbyr importdialogen ein målnøkkelring. Kva mål som er rett, avheng av klienten og av om profilen har brukar- eller einingomfang. Eit gammalt svar som tilrår systemnøkkelringen er ikkje ein universell regel, og kopiering av element mellom lager er ikkje ei reparasjon.

System Roots er ei tillitssamling. Å setje eit sertifikat der endrar kva utsendarar systemet stolar på; det lagar ingen privat nøkkel, og det er ikkje eit identitetslager. Å flytte urelaterte sertifikat rundt for å fylle ein veljar er den typen retting som lèt att ei maskin med eit permanent utvida tillitssett.

Tilgang til den private nøkkelen er ein eigen kontroll. Å gi kvar applikasjon løyve til å bruke nøkkelen løyser valproblemet til éin klient og gir den same evna til alt anna på maskina. Gi han til klienten som treng han, og sjekk om nøkkelen er maskinvarebasert eller merkt ikkje-eksporterbar; om han er det, må den støtta leverandøren brukast i staden for ein eksportert kopi.

Korleis profilen peikar på legitimasjonen

I ein administrert innebygd IKEv2-konfigurasjon refererer profilen til sin legitimasjonsnyttelast via PayloadCertificateUUID. Det er identiteten som er referert og måten han vart klargjort på som tel; å redigere eit visingsnamn i profilen reparerer ikkje ein referanse som peikar på feil nyttelast eller på ein som aldri leverte ein nøkkel.

Ein tredjepartsleverandør kan bruke ein heilt annan valmekanisme, som sitt eige lager eller ei systemoppmoding. Les dokumentasjonen til den leverandøren i staden for å overføre antakingar frå innebygde profilar, og stadfest referansen i profilen som faktisk er installert, ikkje i utkastet i administrasjonskonsollen.

Val og godtaking er separate milepælar

Ein fylt veljar tyder at klienten kan finne og bruke ein identitet. Det seier ingenting om gatewayen godtek han. Serveren sjekkar framleis utsendaren, gyldigheitsvindauget, tilbaketrekkingsstatusen og koplinga frå den legitimasjonen til ein konto.

Test båe stadia eksplisitt, i den rekkjefølgja. Stadfest at identiteten blir tilboden, kople til, og be deretter eigaren av gatewayen stadfeste kva legitimasjon som vart presentert og kva koplingregel som brukte han. Viss klienten tilbyr ein identitet og serveren avviser han, ligg det gjenverande arbeidet på serversida. Å installere sertifikatet på nytt på Macen vil ikkje endre det resultatet, uansett kor mange gonger det blir gjenteke.