Certificat VPN pe Mac: ce cont vede poarta de acces?
Eticheta profilului, acreditarea și câmpul de cont răspund la întrebări diferite. Urmați principalul până la maparea din poartă înainte de a redenumi ceva.
Profilul arată numele dvs., eticheta vizibilă a certificatului spune altceva, iar jurnalul porții înregistrează un al treilea identificator. Niciunul nu minte, și exact aceasta este problema: trei câmpuri diferite sunt citite ca și cum ar răspunde la o singură întrebare. Conexiunea prezintă o acreditare, un identificator IKEv2 și un cont, iar poarta decide care dintre ele autorizează ce.
Trei identități într-o singură conexiune
Numele vizibil al profilului este o etichetă pentru oameni. Selectează o conexiune și nimic mai mult. Certificatul este o acreditare, iar dacă poate dovedi ceva depinde de faptul dacă clientul deține cheia privată corespunzătoare. Câmpul de cont este o afirmație despre un principal, iar serverul este liber să o mapeze la o altă identitate locală.
Când autentificarea eșuează, întrebați la care dintre cele trei se referă eroarea. O acreditare respinsă, un identificator necunoscut și un cont dezactivat produc mesaje diferite, iar tratarea lor ca o singură «problemă de certificat» vă trimite la consola greșită.
Citiți câmpurile native după sarcina lor
Într-o configurație IKEv2 nativă administrată, referința de încărcătură a Apple separă valorile, iar metoda de autentificare decide care combinație este necesară:
| Field | Identifies | Common misreading |
|---|---|---|
| AuthName | Username for the configured arrangement | Assuming it is the certificate subject |
| LocalIdentifier | IKEv2 client identifier | Assuming it must equal the username |
| PayloadCertificateUUID | Referenced credential payload | Assuming any installed certificate will do |
Un certificat și o autentificare EAP pot avea roluri distincte în aceeași conexiune. Nu forțați fiecare câmp să conțină același text doar pentru că unul dintre ele o face, și nu presupuneți că schimbarea unuia le anulează pe celelalte. O aplicație VPN terță poate expune un model complet diferit; folosiți selecția de identitate documentată a acesteia în loc să transportați acolo nume native de câmpuri.
Un certificat de server nu este o identitate de client
Certificatul care validează poarta este o ancoră de încredere. Dovedește că ați ajuns la serverul așteptat. O identitate de client este un alt obiect: include accesul la cheia privată care dovedește că partea care se conectează este cea care pretinde că este. Redenumirea unui cont vizibil nu poate transforma una în cealaltă.
Aici o corectare bine intenționată merge greșit. Importarea certificatului CA al porții în magazia clientului nu face nimic pentru autentificarea clientului, iar etichetarea acelei intrări cu numele utilizatorului nu o face o identitate de utilizator. Cele două obiecte trăiesc în părți diferite ale profilului și răspund la întrebări diferite.
Urmați principalul până la maparea din poartă
Confirmați pentru ce a fost emisă acreditarea: acest utilizator, acest dispozitiv sau un rol partajat. Contul de autentificare Mac nu este automat acel principal, iar un certificat copiat de pe altă mașină păstrează identitatea mașinii pentru care a fost emis.
Apoi comparați acreditarea reală, nu eticheta. Emitent, număr de serie și amprentă vă permit dvs. și administratorului să confirmați că vorbiți despre același obiect. Numele afișate sunt editabile și adesea duplicate, ceea ce le face cel mai prost identificator posibil în timpul unui incident.
Ultimul pas este la poartă. Rugați proprietarul acesteia să coreleze o conexiune cu identificatorii prezentați și cu regula de mapare a conturilor care i-a consumat. O etichetă din partea clientului nu poate stabili ce a decis serverul, iar o regulă care mapează un certificat la un cont dezactivat va eșua în timp ce toate câmpurile din partea clientului par corecte.
Reparați stratul căruia îi aparține nepotrivirea
Dacă profilul indică acreditarea greșită, corectați referința sau selecția. Dacă acreditarea aparține altui principal, treceți prin reînregistrarea la emitent în loc să editați etichete. Dacă poarta leagă o acreditare validă de contul greșit, proprietarul politicii trebuie să corecteze maparea. Sunt trei modificări diferite cu trei aprobatori diferiți.
Reînnoirea merită aceeași grijă. Înlocuirea certificatului, redenumirea etichetei sale vizibile și mutarea unei persoane între sisteme de conturi nu afectează neapărat maparea în același fel. Notați care dintre cele trei a fost schimbat, pentru că următoarea defecțiune va părea identică din partea clientului și diferită în jurnalul porții.
Partajați doar identificatorii publici minimi de care are nevoie suportul. O cheie privată sau un pachet complet de identitate nu fac niciodată parte din acel schimb, oricât de comod ar face diagnosticul.