Certificado VPN do Mac: qual conta a gateway vê?
O rótulo do perfil, a credencial e o campo de conta respondem a perguntas diferentes. Siga o principal até ao mapeamento da gateway antes de renomear seja o que for.
O perfil mostra o seu nome, o rótulo visível do certificado diz outra coisa e o registo da gateway anota um terceiro identificador. Nenhum deles mente, e é exatamente esse o problema: três campos diferentes são lidos como se respondessem a uma única pergunta. A ligação apresenta uma credencial, um identificador IKEv2 e uma conta, e a gateway decide qual deles autoriza o quê.
Três identidades numa só ligação
O nome visível do perfil é um rótulo para pessoas. Seleciona uma ligação e nada mais. O certificado é uma credencial, e saber se pode provar alguma coisa depende de o cliente ter a chave privada correspondente. O campo de conta é uma afirmação sobre um principal, e o servidor é livre de o mapear para outra identidade local.
Quando a autenticação falha, pergunte a qual dos três o erro se refere. Uma credencial rejeitada, um identificador desconhecido e uma conta desativada produzem mensagens diferentes, e tratá-los como um único «problema de certificado» envia-o para a consola errada.
Leia os campos nativos segundo a sua função
Numa configuração IKEv2 nativa gerida, a referência de carga da Apple separa os valores, e o método de autenticação decide qual combinação é necessária:
| Field | Identifies | Common misreading |
|---|---|---|
| AuthName | Username for the configured arrangement | Assuming it is the certificate subject |
| LocalIdentifier | IKEv2 client identifier | Assuming it must equal the username |
| PayloadCertificateUUID | Referenced credential payload | Assuming any installed certificate will do |
Um certificado e um início de sessão EAP podem ter papéis distintos na mesma ligação. Não force cada campo a conter o mesmo texto só porque um deles o faz, e não assuma que alterar um anula os outros. Uma aplicação VPN de terceiros pode expor um modelo completamente diferente; use a sua seleção de identidade documentada em vez de transportar para lá nomes de campo nativos.
Um certificado de servidor não é uma identidade de cliente
O certificado que valida a gateway é uma âncora de confiança. Prova que chegou ao servidor que esperava. Uma identidade de cliente é um objeto diferente: inclui o acesso à chave privada que prova que a parte que se liga é quem diz ser. Renomear uma conta visível não pode converter uma na outra.
É aqui que uma correção bem-intencionada corre mal. Importar o certificado CA da gateway para o armazenamento do cliente não faz nada pela autenticação do cliente, e rotular essa entrada com o nome do utilizador não a torna uma identidade de utilizador. Os dois objetos vivem em partes diferentes do perfil e respondem a perguntas diferentes.
Siga o principal até ao mapeamento da gateway
Confirme para que foi emitida a credencial: este utilizador, este dispositivo ou um papel partilhado. A conta de início de sessão do Mac não é automaticamente esse principal, e um certificado copiado de outra máquina conserva a identidade da máquina para a qual foi emitido.
Depois compare a credencial real, não o rótulo. Emissor, número de série e impressão digital permitem a si e ao administrador confirmar que falam do mesmo objeto. Os nomes apresentados são editáveis e frequentemente duplicados, o que os torna o pior identificador possível durante um incidente.
O último passo está na gateway. Peça ao proprietário que correlacione uma ligação com os identificadores apresentados e com a regra de mapeamento de contas que os consumiu. Um rótulo do lado do cliente não pode estabelecer o que o servidor decidiu, e uma regra que mapeia um certificado para uma conta desativada falhará enquanto todos os campos do cliente parecem corretos.
Repare a camada que possui o desencontro
Se o perfil aponta para a credencial errada, corrija a referência ou a seleção. Se a credencial pertence a outro principal, siga a reinscrição do emissor em vez de editar rótulos. Se a gateway liga uma credencial válida à conta errada, o proprietário da política tem de corrigir o mapeamento. São três alterações diferentes com três aprovadores diferentes.
A renovação merece o mesmo cuidado. Substituir o certificado, renomear o seu rótulo visível e mover uma pessoa entre sistemas de contas não afetam necessariamente o mapeamento da mesma forma. Registe qual dos três alterou, porque a próxima falha parecerá idêntica do lado do cliente e diferente no registo da gateway.
Partilhe apenas os identificadores públicos mínimos de que o suporte precisa. Uma chave privada ou um pacote de identidade completo nunca fazem parte dessa troca, por mais cómodo que tornasse o diagnóstico.