Mac IKEv2 ECDSA: ਕਿਹੜਾ ਸਰਟੀਫਿਕੇਟ ਕਿਸਮ ਕਲਾਇੰਟ ਦੀ ਹੈ?
Mac 'ਤੇ, IKEv2 ਸੈਟਿੰਗਾਂ ਵਿੱਚ ECDSA256 ਸਥਾਨਕ ਪਛਾਣ ਸਰਟੀਫਿਕੇਟ ਦਾ ਵਰਣਨ ਕਰਦਾ ਹੈ, ਗੇਟਵੇ ਜਾਂ ਜਾਰੀਕਰਤਾ ਦੀ ਦਸਤਖ਼ਤ ਨਹੀਂ। ਚੁਣਨ ਤੋਂ ਪਹਿਲਾਂ ਹਰ ਭੂਮਿਕਾ ਪੜ੍ਹੋ।
macOS 'ਤੇ, IKEv2 ਕਲਾਇੰਟ ਸੈਟਿੰਗ ਵਿੱਚ ECDSA ਦੀ ਚੋਣ ਇੱਕ ਤੰਗ ਸਵਾਲ ਦਾ ਜਵਾਬ ਦਿੰਦੀ ਹੈ: ਕਿਹੜਾ ਸਰਟੀਫਿਕੇਟ Mac ਦੀ ਪਛਾਣ ਸਾਬਤ ਕਰਦਾ ਹੈ। ਇਹ ਗੇਟਵੇ ਸਰਟੀਫਿਕੇਟ, ਕਲਾਇੰਟ ਸਰਟੀਫਿਕੇਟ ਜਾਰੀ ਕਰਨ ਵਾਲੀ ਦਸਤਖ਼ਤ, ਜਾਂ ਟਨਲ ਲਈ ਐਨਕ੍ਰਿਪਸ਼ਨ ਪ੍ਰਸਤਾਵ ਦਾ ਵਰਣਨ ਨਹੀਂ ਕਰਦੀ। ਇਹਨਾਂ ਚਾਰ ਭੂਮਿਕਾਵਾਂ ਨੂੰ ਇੱਕੋ ਅਨੁਕੂਲਤਾ ਸਵਾਲ ਮੰਨਣਾ ਹੀ ਉਹ ਤਰੀਕਾ ਹੈ ਜਿਸ ਨਾਲ ਸਹੀ ਸਥਾਨਕ ਸੈਟਿੰਗ 'ਤੇ ਸਰਵਰ-ਪਾਸੇ ਦੀ ਅਸੰਗਤੀ ਦਾ ਦੋਸ਼ ਆਉਂਦਾ ਹੈ। ਫ਼ੈਸਲਾ ਛੋਟਾ ਹੈ, ਪਰ ਇਸਨੂੰ ਲੈਣ ਲਈ ਵਰਤੇ ਸਬੂਤ ਸਹੀ ਹੋਣੇ ਚਾਹੀਦੇ ਹਨ।
ਇਹ ਫ਼ੀਲਡ ਇੱਕ ਸਰਟੀਫਿਕੇਟ ਦਾ ਨਾਮ ਦਿੰਦੀ ਹੈ: ਸਥਾਨਕ ਪਛਾਣ
Apple ਦਾ Network Extension API ਕਲਾਇੰਟ ਪ੍ਰਮਾਣ-ਪੱਤਰ ਲਈ ਸਰਟੀਫਿਕੇਟ ਕਿਸਮ ਦਿੰਦਾ ਹੈ, ਜਿਸ ਵਿੱਚ NEVPNIKEv2CertificateType.ECDSA256 ਵੀ ਹੈ, ਜਿਸਨੂੰ ECDSA p-256 ਸਰਟੀਫਿਕੇਟ ਕਿਸਮ ਵਜੋਂ ਦਰਜ ਕੀਤਾ ਗਿਆ ਹੈ। ਇਹ ਗੁਣ identityReference ਜਾਂ identityData ਰਾਹੀਂ ਦਿੱਤੇ ਸਰਟੀਫਿਕੇਟ 'ਤੇ ਲਾਗੂ ਹੁੰਦਾ ਹੈ।
ਇਸ ਦਾ ਮਤਲਬ ਹੈ ਕਿ ਫ਼ੈਸਲਾ Mac ਵੱਲੋਂ ਪੇਸ਼ ਕੀਤੇ ਸਰਟੀਫਿਕੇਟ ਅਤੇ ਉਸ ਨਾਲ ਜਾਣ ਵਾਲੀ ਨਿੱਜੀ ਕੁੰਜੀ ਬਾਰੇ ਹੈ। ਉਸ ਲੀਫ਼ ਸਰਟੀਫਿਕੇਟ ਦੀ ਜਨਤਕ ਕੁੰਜੀ ਨਾਲ ਮੇਲ ਖਾਂਦੀ ਕਿਸਮ ਚੁਣੋ ਅਤੇ ਸਮਰਥਿਤ ਕਾਰਵਾਈ ਰਾਹੀਂ ਪਛਾਣ ਦਿਓ। ਜੇ Mac ਕੋਲ ਪਛਾਣ ਲਈ ਵਰਤੋਂਯੋਗ ਨਿੱਜੀ ਕੁੰਜੀ ਨਹੀਂ ਹੈ, ਤਾਂ ਕਿਸਮ ਦੀ ਚੋਣ ਕਨੈਕਸ਼ਨ ਨੂੰ ਨਹੀਂ ਬਚਾ ਸਕਦੀ।
ਪ੍ਰਬੰਧਿਤ ਪ੍ਰੋਫ਼ਾਈਲ IKEv2 ਪੇਲੋਡ ਦੇ CertificateType ਰਾਹੀਂ ਉਹੀ ਫ਼ੈਸਲਾ ਲੈਂਦੇ ਹਨ, ਨਾਲ ਹੀ PayloadCertificateUUID ਵਰਗੇ ਸਰਟੀਫਿਕੇਟ ਹਵਾਲੇ ਨਾਲ। ਇਹਨਾਂ ਫ਼ੀਲਡਾਂ ਵਿੱਚ ਟਾਰਗਟ OS ਸੰਸਕਰਣ ਲਈ ਪੂਰਵ-ਸ਼ਰਤਾਂ ਅਤੇ ਸਕੀਮਾ ਹਨ; ਪ੍ਰੋਫ਼ਾਈਲ ਵਿੱਚ ਨਕਲ ਕੀਤਾ ਨੰਗਾ ਕਿਸਮ-ਮੁੱਲ ਸਥਾਪਿਤ ਨਹੀਂ ਹੁੰਦਾ, ਅਤੇ ਸੈਟਿੰਗਾਂ ਵਿੰਡੋ ਹਰ API ਵਿਕਲਪ ਨਹੀਂ ਦਿਖਾ ਸਕਦੀ। ਤੈਨਾਤੀ ਤੋਂ ਪਹਿਲਾਂ ਉਸ ਸੰਸਕਰਣ ਲਈ ਪੇਲੋਡ ਦੀਆਂ ਪੂਰਵ-ਸ਼ਰਤਾਂ ਜਾਂਚੋ।
ਸਰਟੀਫਿਕੇਟ ਦੇ ਲੇਬਲ ਨਾਲ ਨਹੀਂ, ਭੂਮਿਕਾ ਨਾਲ ਫ਼ੈਸਲਾ ਕਰੋ
ਜਿਸ ਫ਼ੀਲਡ ਨੂੰ ਤੁਸੀਂ ਬਦਲਣ ਵਾਲੇ ਹੋ, ਉਹ ਪੜ੍ਹੋ ਅਤੇ ਪੁੱਛੋ ਕਿ ਇਹ ਕਿਹੜੇ ਸਰਟੀਫਿਕੇਟ ਵੱਲ ਇਸ਼ਾਰਾ ਕਰਦੀ ਹੈ। ਸਰਟੀਫਿਕੇਟ ਦਰਸ਼ਕ ਵਿੱਚ ਲੇਬਲ ਵਿਸ਼ਾ, ਜਾਰੀਕਰਤਾ ਅਤੇ ਦਸਤਖ਼ਤ ਐਲਗੋਰਿਦਮ ਨੂੰ ਮਿਲਾ ਦਿੰਦੇ ਹਨ, ਅਤੇ ਇਹਨਾਂ ਵਿੱਚੋਂ ਸਿਰਫ਼ ਇੱਕ ਹੀ ਕਲਾਇੰਟ ਪਛਾਣ ਦੀ ਚੋਣ ਨਾਲ ਸੰਬੰਧਿਤ ਹੈ।
| What you inspected | What it controls | Does it choose the Mac certificate type? |
|---|---|---|
| Client leaf public key | The identity the Mac presents | Yes, this is the field's subject |
| Issuer signature algorithm | How the client certificate was signed | No |
| Gateway certificate | What the Mac validates as the peer | No, check it separately |
| IKE and ESP proposals | Algorithms for the tunnel | No, separate proposal settings |
ਜੇ ਸਰਟੀਫਿਕੇਟ ਦਰਸ਼ਕ CA ਤੋਂ ECDSA ਦਸਤਖ਼ਤ ਦਿਖਾਉਂਦਾ ਹੈ, ਤਾਂ ਇਹ ਜਾਰੀਕਰਤਾ ਦੀ ਦਸਤਖ਼ਤ ਕੁੰਜੀ ਦਾ ਵਰਣਨ ਕਰਦਾ ਹੈ। ਕਲਾਇੰਟ ਦੀ ਆਪਣੀ ਕੁੰਜੀ ਅਜੇ ਵੀ RSA ਹੋ ਸਕਦੀ ਹੈ, ਅਤੇ ਕਿਸਮ-ਫ਼ੀਲਡ ਨੂੰ ਦਸਤਖ਼ਤ ਲਾਈਨ ਨਹੀਂ, ਕਲਾਇੰਟ ਕੁੰਜੀ ਦੀ ਪੈਰਵੀ ਕਰਨੀ ਚਾਹੀਦੀ ਹੈ। ਇਹ ਇੱਕੋ ਉਲਝਣ "ECDSA ਸੰਰਚਿਤ ਹੈ ਪਰ ਕਨੈਕਸ਼ਨ ਫੇਲ੍ਹ ਹੁੰਦਾ ਹੈ" ਵਾਲੀਆਂ ਕਈ ਰਿਪੋਰਟਾਂ ਦੀ ਵਿਆਖਿਆ ਕਰਦੀ ਹੈ। ਕੁਝ ਵੀ ਬਦਲਣ ਤੋਂ ਪਹਿਲਾਂ ਲੀਫ਼ ਵਿੱਚਲੀ ਕੁੰਜੀ-ਕਿਸਮ ਦੀ ਪ੍ਰੋਫ਼ਾਈਲ ਵਿੱਚ ਚੁਣੀ ਕਿਸਮ ਨਾਲ ਤੁਲਨਾ ਕਰੋ।
ਲੀਫ਼ ਪਛਾਣੀਆਂ ਜਾਣ ਤੋਂ ਬਾਅਦ ਫ਼ੈਸਲਾ ਸੌਖਾ ਹੋ ਜਾਂਦਾ ਹੈ: p-256 ਕਲਾਇੰਟ ਕੁੰਜੀ ਲਈ ECDSA256, ਵੱਖਰੀ ਕੁੰਜੀ ਲਈ ਦੂਜੀ ਸਮਰਥਿਤ ਕਿਸਮ। ਜੇ ਕਲਾਇੰਟ ਸਰਟੀਫਿਕੇਟ ਅਤੇ ਉਸ ਦੀ ਕੁੰਜੀ ਮੇਲ ਨਹੀਂ ਖਾਂਦੇ, ਤਾਂ VPN ਪ੍ਰੋਫ਼ਾਈਲ ਬਦਲਣ ਤੋਂ ਪਹਿਲਾਂ ਉਹ ਜੋੜੀ ਠੀਕ ਕਰੋ।
ਗੇਟਵੇ ਸਰਟੀਫਿਕੇਟ ਵੱਖਰਾ ਫ਼ੈਸਲਾ ਹੈ
ਗੇਟਵੇ ਆਪਣਾ ਸਰਟੀਫਿਕੇਟ ਪੇਸ਼ ਕਰਦਾ ਹੈ ਅਤੇ Mac ਇਸਨੂੰ ਭਰੋਸਾ-ਐਂਕਰ ਅਤੇ ਉਮੀਦ ਕੀਤੇ ਨਾਮ ਦੇ ਵਿਰੁੱਧ ਪ੍ਰਮਾਣਿਤ ਕਰਦਾ ਹੈ। ਉਹ ਸਰਟੀਫਿਕੇਟ ECDSA, RSA ਜਾਂ ਹੋਰ ਕੁੰਜੀ-ਕਿਸਮ ਵਰਤਦਾ ਹੈ ਜਾਂ ਨਹੀਂ, ਇਹ ਸਰਵਰ ਦਾ ਗੁਣ ਹੈ, ਕਲਾਇੰਟ ਪਛਾਣ ਸੈਟਿੰਗ ਦਾ ਨਹੀਂ।
ECDSA ਕਲਾਇੰਟ ਸਰਟੀਫਿਕੇਟ ਲਈ ਸਥਾਨਕ ਸਮਰਥਨ ਇਹ ਸਾਬਤ ਨਹੀਂ ਕਰਦਾ ਕਿ ਹਰ ਗੇਟਵੇ ਸਰਟੀਫਿਕੇਟ, ਕਰਵ ਜਾਂ ਸਰਵਰ ਪ੍ਰਮਾਣੀਕਰਨ ਸੰਰਚਨਾ ਆਪਸ ਵਿੱਚ ਕੰਮ ਕਰੇਗੀ। ਸਰਵਰ ਦੀ ਪਛਾਣ, ਉਸਦੀ ਲੜੀ ਅਤੇ IKE ਪ੍ਰਮਾਣੀਕਰਨ ਢੰਗ ਨੂੰ ਵੱਖਰੇ ਇਨਪੁਟ ਵਜੋਂ ਜਾਂਚੋ, ਅਤੇ ਅਸਲ ਵਿੱਚ ਤੈਨਾਤ ਹੋਣ ਵਾਲੇ ਪ੍ਰੋਫ਼ਾਈਲ ਨਾਲ ਟੈਸਟ ਕਰੋ।
ਜੇ ਗੇਟਵੇ ਸਰਟੀਫਿਕੇਟ ਹੀ ਸਮੱਸਿਆ ਹੈ, ਤਾਂ ਲੱਛਣ ਆਮ ਤੌਰ 'ਤੇ ਪਛਾਣ ਚੋਣ ਵਿੱਚ ਨਹੀਂ, ਪੀਰ ਪ੍ਰਮਾਣਿਕਤਾ ਦੌਰਾਨ ਦਿਸਦਾ ਹੈ. ਕਲਾਇੰਟ ਕਿਸਮ ਬਦਲਣ ਤੋਂ ਪਹਿਲਾਂ ਫੇਲ੍ਹਤਾ ਦਾ ਪੜਾਅ ਪੜ੍ਹੋ, ਕਿਉਂਕਿ ਭਰੋਸਾ ਫੇਲ੍ਹਤਾ ਅਤੇ ਕਲਾਇੰਟ-ਕੁੰਜੀ ਅਸੰਗਤੀ ਦਾ ਹੱਲ ਇੱਕੋ ਨਹੀਂ।
ਜਾਰੀਕਰਤਾ ਦੀ ਦਸਤਖ਼ਤ ਅਤੇ ਕੁੰਜੀ-ਸਹਿਮਤੀ ਸਮੂਹ ਕਲਾਇੰਟ ਦੀ ਕਿਸਮ ਨਹੀਂ
X.509 ਵਿਸ਼ੇ ਦੀ ਜਨਤਕ ਕੁੰਜੀ ਅਤੇ ਜਾਰੀਕਰਤਾ ਦੀ ਦਸਤਖ਼ਤ ਨੂੰ ਵੱਖਰੇ ਫ਼ੀਲਡਾਂ ਵਿੱਚ ਰੱਖਦਾ ਹੈ। ਵਿਸ਼ਾ ਜਨਤਕ ਕੁੰਜੀ ਜਾਣਕਾਰੀ ਸਰਟੀਫਿਕੇਟ ਵਿੱਚਲੀ ਕੁੰਜੀ ਦਾ ਵਰਣਨ ਕਰਦੀ ਹੈ; ਦਸਤਖ਼ਤ ਐਲਗੋਰਿਦਮ CA ਦੀ ਕੁੰਜੀ ਅਤੇ ਦਸਤਖ਼ਤ ਕਿਰਿਆ ਦਾ ਵਰਣਨ ਕਰਦਾ ਹੈ। ਸਰਟੀਫਿਕੇਟ-ਕਿਸਮ ਸੈਟਿੰਗ ਨਾਲ ਸਿਰਫ਼ ਪਹਿਲੀ ਹੀ ਮੇਲ ਖਾਂਦੀ ਹੈ।
IKE ਅਤੇ Child SA ਪ੍ਰਸਤਾਵ ਦੂਜੀ ਧੁਰੀ ਹਨ। ECDSA ਸਰਟੀਫਿਕੇਟ ਕਿਸਮ ESP ਐਨਕ੍ਰਿਪਸ਼ਨ ਦੀ ਚੋਣ ਨਹੀਂ ਹੈ, ਅਤੇ ਕੁੰਜੀ-ਸਹਿਮਤੀ ਸਮੂਹ ਬਦਲਣ ਨਾਲ ਸਰਟੀਫਿਕੇਟ ਕਿਸਮ ਨਹੀਂ ਚੁਣੀ ਜਾਂਦੀ। ਪ੍ਰੋਫ਼ਾਈਲ ਵਿੱਚ ਵੈਧ ਪ੍ਰਸਤਾਵ ਅਤੇ ਗਲਤ ਪਛਾਣ-ਕਿਸਮ ਹੋ ਸਕਦੀ ਹੈ, ਜਾਂ ਸਹੀ ਪਛਾਣ-ਕਿਸਮ ਅਤੇ ਪੀਰ ਵੱਲੋਂ ਅਸਵੀਕਾਰ ਕੀਤਾ ਪ੍ਰਸਤਾਵ ਹੋ ਸਕਦਾ ਹੈ।
ਬਦਲਾਅ ਰਿਕਾਰਡ ਵਿੱਚ ਤਿੰਨ ਲਾਈਨਾਂ ਵੱਖਰੀਆਂ ਰੱਖੋ: ਪਛਾਣ ਸਰਟੀਫਿਕੇਟ ਅਤੇ ਕੁੰਜੀ, ਗੇਟਵੇ ਭਰੋਸਾ ਇਨਪੁਟ, ਅਤੇ ਪ੍ਰਸਤਾਵਾਂ ਦੇ ਐਲਗੋਰਿਦਮ। ਇਹਨਾਂ ਨੂੰ ਇੱਕੋ "ਕ੍ਰਿਪਟੋ ਸੈਟਿੰਗਾਂ" ਨੋਟ ਵਿੱਚ ਮਿਲਾਉਣ ਨਾਲ ਅਗਲੀ ਫੇਲ੍ਹਤਾ ਦਾ ਕਾਰਨ ਦੱਸਣਾ ਅਸੰਭਵ ਹੋ ਜਾਂਦਾ ਹੈ।
ਤੁਸੀਂ ਸੰਰਚਿਤ ਕੀਤੇ ਫ਼ੀਲਡਾਂ ਨਾਲ ਫ਼ੈਸਲਾ ਜਾਂਚੋ
ਪ੍ਰੋਫ਼ਾਈਲ ਅਸਲ ਵਿੱਚ ਜਿਸ ਪਛਾਣ ਦਾ ਹਵਾਲਾ ਦਿੰਦੀ ਹੈ, ਉਹ ਜਾਂਚੋ, ਫਿਰ ਪੱਕਾ ਕਰੋ ਕਿ ਉਸ ਹਵਾਲੇ ਦੇ ਸਰਟੀਫਿਕੇਟ ਕੋਲ ਉਮੀਦ ਕੀਤੀ ਜਨਤਕ ਕੁੰਜੀ ਅਤੇ ਵਰਤੋਂਯੋਗ ਨਿੱਜੀ ਕੁੰਜੀ ਹੈ। UI ਵਿੱਚ ਦਿਖਾਈ ਕਿਸਮ, ਹਵਾਲਾ ਦਿੱਤਾ ਸਰਟੀਫਿਕੇਟ ਅਤੇ ਡਿਵਾਈਸ ਦੀ ਕੁੰਜੀ—ਤਿੰਨੇ ਮੇਲ ਖਾਣੇ ਚਾਹੀਦੇ ਹਨ।
ਫਿਰ ਗੇਟਵੇ ਇਨਪੁਟ ਦੀ ਪੁਸ਼ਟੀ ਕਰੋ: ਉਮੀਦ ਕੀਤਾ ਸਰਵਰ ਨਾਮ, ਭਰੋਸਾ-ਐਂਕਰ ਅਤੇ IKE ਪ੍ਰਮਾਣੀਕਰਨ ਢੰਗ। ਅੰਤ ਵਿੱਚ ਕਨੈਕਟ ਕਰੋ ਅਤੇ ਦੇਖੋ ਹੈਂਡਸ਼ੇਕ ਕਿੱਥੇ ਰੁਕਦਾ ਹੈ। ਪਛਾਣ ਦੀ ਅਦਲਾ-ਬਦਲੀ ਤੋਂ ਪਹਿਲਾਂ ਦੀ ਫੇਲ੍ਹਤਾ ਇਸ ਸੈਟਿੰਗ ਤੋਂ ਦੂਰ ਇਸ਼ਾਰਾ ਕਰਦੀ ਹੈ; ਪੀਰ ਪ੍ਰਮਾਣਿਕਤਾ ਦੀ ਫੇਲ੍ਹਤਾ ਗੇਟਵੇ ਪਾਸੇ ਵੱਲ ਇਸ਼ਾਰਾ ਕਰਦੀ ਹੈ।
ਚੁਣੀ ਕਿਸਮ, ਪਛਾਣ ਹਵਾਲਾ ਅਤੇ ਗੇਟਵੇ ਸਰਟੀਫਿਕੇਟ ਦਾ ਵਿਸ਼ਾ ਤੈਨਾਤੀ ਨੋਟਾਂ ਵਿੱਚ ਦਰਜ ਕਰੋ। ਅਗਲਾ ਪ੍ਰੋਫ਼ਾਈਲ ਅੱਪਡੇਟ ਇਹਨਾਂ ਵਿੱਚੋਂ ਕੋਈ ਵੀ ਬਦਲ ਸਕਦਾ ਹੈ, ਅਤੇ ਤਿੰਨ ਨਾਮਿਤ ਮੁੱਲ ਸੈਟਿੰਗਾਂ ਪੈਨਲ ਦੇ ਸਕ੍ਰੀਨਸ਼ਾਟ ਨਾਲੋਂ ਤੇਜ਼ੀ ਨਾਲ ਤੁਲਨਾ ਕੀਤੇ ਜਾ ਸਕਦੇ ਹਨ।