Mac IKEv2 ECDSA: کوم ډول سند د کلینټ پورې اړه لري؟
په Mac کې، په IKEv2 تنظیماتو کې ECDSA256 د ځایي هویت سند بیانوي، نه ګیټوی یا د صادرونکي لاسلیک. له غوره کولو دمخه هر رول ولولئ.
په macOS کې، په IKEv2 کلینټ تنظیم کې د ECDSA غوره کول یوې تنګې پوښتنې ته ځواب ورکوي: کوم سند د Mac هویت ثابتوي. دا د ګیټوی سند، هغه لاسلیک چې د کلینټ سند یې صادر کړ، یا د تونل د کوډ کولو وړاندیز بیانوي نه. دې څلورو رولونو ته د یوې مطابقت پوښتنې په توګه کتل هماغه لاره ده چې سم ځایي تنظیم د سرور خوا ناسم مطابقت په غاړه اخلي. پرېکړه کوچنۍ ده، خو هغه شواهد چې د هغې لپاره کارول کیږي باید دقیق وي.
دا فیلډ یو سند نوموي: ځایي هویت
د Apple Network Extension API د کلینټ اعتبار لپاره د سند ډول وړاندې کوي، په شمول NEVPNIKEv2CertificateType.ECDSA256، چې د ECDSA p-256 سند ډول په توګه مستند شوی. دا ځانګړتیا هغه سند ته تطبیق کیږي چې د identityReference یا identityData له لارې وړاندې کیږي.
دا مانا لري چې پرېکړه د Mac هغه سند او ورسره تړلې شخصي کیلي په اړه ده. هغه پاڼې سند عامه کیلي سره سم ډول وټاکئ او هویت د ملاتړ شوي میکانېزم له لارې وړاندې کړئ. که Mac د هویت لپاره کاریدونکې شخصي کیلي ونه لري، د ډول غوره کول اړیکه نه شي ژغورلی.
مدیریت شوي پروفایلونه هماغه پرېکړه د IKEv2 payload د CertificateType له لارې کوي، له PayloadCertificateUUID په څیر د سند حوالې سره یوځای. دغو فیلډونو د هدف OS نسخې لپاره شرطونه او سکیما لري؛ په پروفایل کې کاپي شوی بربنډ ډول ارزښت نصبیدونکی نه دی، او د تنظیماتو کړکۍ ممکن هر API انتخاب ونه ښیي. له ځای پرځای کولو دمخه د هغې نسخې لپاره د payload شرطونه وګورئ.
د سند لیبل له مخې نه، د رول له مخې پرېکړه وکړئ
هغه فیلډ ولولئ چې غواړئ بدل کړئ او وپوښتئ چې کوم سند ته اشاره کوي. په سند لیدونکي کې لیبلونه موضوع، صادرونکی او د لاسلیک الګوریتم سره ګډوي، او یوازې یو له هغوی څخه د کلینټ هویت غوره کولو پورې اړه لري.
| What you inspected | What it controls | Does it choose the Mac certificate type? |
|---|---|---|
| Client leaf public key | The identity the Mac presents | Yes, this is the field's subject |
| Issuer signature algorithm | How the client certificate was signed | No |
| Gateway certificate | What the Mac validates as the peer | No, check it separately |
| IKE and ESP proposals | Algorithms for the tunnel | No, separate proposal settings |
که سند لیدونکی د CA لخوا ECDSA لاسلیک وښیي، دا د صادرونکي د لاسلیک کیلي بیانوي. د کلینټ خپله کیلي لا هم RSA کیدای شي، او د ډول فیلډ باید د لاسلیک کرښې پرځای د کلینټ کیلي تعقیب کړي. همدا یوه ګډه تېروتنه ډیرې راپورونه تشریح کوي چې "ECDSA تنظیم شوی خو اړیکه ناکامه کیږي". له هر څه بدلولو دمخه په پاڼه کې د کیلي ډول د پروفایل کې ټاکل شوي ډول سره پرتله کړئ.
کله چې پاڼه وپیژندل شي پرېکړه اسانه کیږي: د p-256 کلینټ کیلي لپاره ECDSA256، د بلې کیلي لپاره بل ملاتړ شوی ډول. که کلینټ سند او د هغې کیلي سره سمون ونه خوري، له VPN پروفایل بدلولو دمخه هغه جوړه سمه کړئ.
د ګیټوی سند جلا پرېکړه ده
ګیټوی خپل سند وړاندې کوي او Mac یې د باور لنګر او تمه شوي نوم په وړاندې تصدیقوي. چې هغه سند ECDSA، RSA یا بل کیلي ډول کاروي، دا د سرور ځانګړتیا ده، نه د کلینټ هویت تنظیم.
د ECDSA کلینټ سند لپاره ځایي ملاتړ دا نه ثابتوي چې هر ګیټوی سند، منحني یا د سرور تصدیق تنظیم به یو بل سره کار وکړي. د سرور هویت، زنځیر او د IKE تصدیق طریقه د جلا ننوتونو په توګه وګورئ، او هغه پروفایل سره ازموینه وکړئ چې واقعاً ځای پرځای کیږي.
که ګیټوی سند ستونزه وي، نښه معمولاً د سیال تصدیق پر مهال ښکاري، نه د هویت غوره کول. له کلینټ ډول بدلولو دمخه د ناکامۍ مرحله ولولئ، ځکه چې د باور ناکامي او د کلینټ کیلي ناسم مطابقت یو شان حل نه لري.
د صادرونکي لاسلیک او د کیلي تړون ګروپ د کلینټ ډول نه دی
X.509 د موضوع عامه کیلي او د صادرونکي لاسلیک په جلا فیلډونو کې ساتي. د موضوع عامه کیلي معلومات په سند کې کیلي بیانوي؛ د لاسلیک الګوریتم د CA کیلي او لاسلیک کړنې بیانوي. یوازې لومړی د سند ډول تنظیم سره سمون خوري.
د IKE او Child SA وړاندیزونه بله محور ده. ECDSA سند ډول د ESP کوډ کولو انتخاب نه دی، او د کیلي تړون ګروپ بدلول سند ډول نه ټاکي. پروفایل کیدای شي سم وړاندیزونه او غلط هویت ډول ولري، یا سم هویت ډول او هغه وړاندیز چې سیال یې ردوي.
په بدلون ریکارډ کې درې کرښې جلا وساتئ: د هویت سند او کیلي، د ګیټوی باور ننوتونه، او د وړاندیزونو الګوریتمونه. د هغوی په یو یادښت "کرپټو تنظیمات" کې یوځای کول بل ناکامي د نسبت وړ نه کوي.
پرېکړه هغو فیلډونو سره وګورئ چې تاسو تنظیم کړي
هغه هویت چې پروفایل واقعاً حواله ورکوي وګورئ، بیا تایید کړئ چې د هغې حوالې سند تمه شوې عامه کیلي او کاریدونکې شخصي کیلي لري. په UI کې ښودل شوی ډول، حواله شوی سند او په وسیله کې کیلي باید سره سمون وخوري.
بل بیا د ګیټوی ننوتونه تایید کړئ: تمه شوی سرور نوم، باور لنګر او د IKE تصدیق طریقه. په پای کې وصل شئ او وګورئ چې لاس ملاستل چیرته دریږي. له هویت تبادلې دمخه ناکامي له دې تنظیم څخه لرې اشاره کوي؛ د سیال تصدیق کې ناکامي ګیټوی خواته اشاره کوي.
ټاکل شوی ډول، د هویت حواله او د ګیټوی سند موضوع په ځای پرځای کولو یادښتونو کې ولیکئ. بل پروفایل تازه کول کیدای شي هر یو له هغوی بدل کړي، او درې نومول شوي ارزښتونه د تنظیماتو پینل سکرینشاټ په پرتله ګړندي پرتله کیږي.