VPN certifikat na Macu: koji račun vidi pristupnik?

Profil prikazuje vaše ime, vidljiva oznaka certifikata govori nešto drugo, a zapisnik pristupnika bilježi treći identifikator. Nijedan od njih ne laže i upravo je to problem: tri različita polja čitaju se kao da odgovaraju na jedno pitanje. Veza predstavlja vjerodajnicu, IKEv2 identifikator i račun, a pristupnik odlučuje koje od njih šta ovlašćuje.

Tri identiteta u jednoj vezi

Vidljivo ime profila oznaka je za ljude. Ono bira vezu i ništa drugo. Certifikat je vjerodajnica, a može li nešto dokazati zavisi od toga ima li klijent odgovarajući privatni ključ. Polje računa je tvrdnja o principal-u, a poslužitelj ga smije mapirati na drugi lokalni identitet.

Kada provjera identiteta ne uspije, pitajte na koje se od tri polja greška odnosi. Odbijena vjerodajnica, nepoznat identifikator i onemogućen račun daju različite poruke, a tretiranje svega kao jednog «problema s certifikatom» vodi vas u pogrešnu konzolu.

Čitajte izvorna polja prema njihovoj namjeni

U upravljanoj izvornoj IKEv2 konfiguraciji Appleova referenca korisnog tereta razdvaja vrijednosti, a metoda provjere identiteta određuje koja je kombinacija potrebna:

Certifikat i EAP prijava mogu imati različite uloge u istoj vezi. Ne prisiljavajte svako polje da drži isti tekst samo zato što jedno od njih to čini i ne pretpostavljajte da promjena jednoga poništava ostala. VPN aplikacija treće strane može izložiti potpuno drugačiji model; koristite njezin dokumentirani odabir identiteta umjesto prenošenja izvornih naziva polja u nju.

Certifikat poslužitelja nije identitet klijenta

Certifikat koji provjerava pristupnik je sidro povjerenja. Dokazuje da ste stigli na poslužitelj koji ste očekivali. Identitet klijenta je drugi objekt: uključuje pristup privatnom ključu koji dokazuje da je strana koja se spaja ono za što se predstavlja. Preimenovanje vidljivog računa ne može jedno pretvoriti u drugo.

Tu dobro namjeravana ispravka krene po zlu. Uvoz pristupnikovog CA certifikata u klijentsko spremište ne čini ništa za provjeru identiteta klijenta, a označavanje tog unosa korisničkim imenom ne čini ga korisničkim identitetom. Dva objekta žive u različitim dijelovima profila i odgovaraju na različita pitanja.

Pratite principal do mapiranja na pristupniku

Potvrdite za što je vjerodajnica izdana: za ovog korisnika, ovaj uređaj ili zajedničku ulogu. Mac račun za prijavu nije automatski taj principal, a certifikat kopiran s drugog stroja zadržava identitet stroja za koji je izdan.

Zatim usporedite stvarnu vjerodajnicu, a ne oznaku. Izdavatelj, serijski broj i otisak prsta omogućuju vama i administratoru da potvrdite da govorite o istom objektu. Prikazana imena mogu se mijenjati i često se dupliciraju, što ih čini najgorim mogućim identifikatorom tijekom incidenta.

Posljednji je korak na pristupniku. Zamolite njegovog vlasnika da poveže jednu vezu s predstavljenim identifikatorima i s pravilom mapiranja računa koje ih je potrošilo. Oznaka na strani klijenta ne može utvrditi što je poslužitelj odlučio, a pravilo koje mapira certifikat na onemogućen račun neće uspjeti dok sva polja na strani klijenta izgledaju ispravno.

Popravite sloj koji posjeduje nesklad

Ako profil pokazuje na pogrešnu vjerodajnicu, ispravite njezinu referencu ili odabir. Ako vjerodajnica pripada drugom principal-u, prođite kroz ponovnu registraciju kod izdavatelja umjesto uređivanja oznaka. Ako pristupnik veže valjanu vjerodajnicu uz pogrešan račun, njegov vlasnik politike mora ispraviti mapiranje. To su tri različite promjene s tri različita odobravatelja.

Obnova zaslužuje istu pažnju. Zamjena certifikata, preimenovanje njegove vidljive oznake i premještanje osobe između računovodstvenih sustava ne mijenjaju nužno mapiranje na isti način. Zabilježite koju ste od tri stvari promijenili, jer će sljedeća greška izgledati identično sa strane klijenta, a drukčije u zapisniku pristupnika.

Dijelite samo minimalne javne identifikatore koje podrška treba. Privatni ključ ili cijeli paket identiteta nikada nije dio te razmjene, koliko god to dijagnozu učinilo praktičnijom.