Mac IKEv2 ECDSA: ktorý typ certifikátu patrí klientovi?
Na Macu ECDSA256 v nastaveniach IKEv2 opisuje miestny certifikát identity, nie bránu ani podpis vydavateľa. Pred voľbou si prečítajte každú rolu.
V macOS voľba ECDSA v nastavení klienta IKEv2 odpovedá na úzku otázku: ktorý certifikát preukazuje identitu Macu. Neopisuje certifikát brány, podpis, ktorým bol klientsky certifikát vydaný, ani šifrovací návrh pre tunel. Považovať tieto štyri roly za jednu otázku kompatibility je spôsob, akým je správne miestne nastavenie obviňované z nesúladu na strane servera. Rozhodnutie je malé, ale dôkazy, o ktoré sa opiera, musia byť presné.
Pole pomenúva jeden certifikát: miestnu identitu
Network Extension API od Apple sprístupňuje typ certifikátu pre klientske prihlasovacie údaje, vrátane NEVPNIKEv2CertificateType.ECDSA256, dokumentovaného ako typ certifikátu ECDSA p-256. Vlastnosť sa vzťahuje na certifikát dodaný cez identityReference alebo identityData.
To znamená, že rozhodnutie sa týka certifikátu, ktorý Mac predkladá, a k nemu patriaceho súkromného kľúča. Vyberte typ, ktorý zodpovedá verejnému kľúču tohto koncového certifikátu, a dodajte identitu podporovaným mechanizmom. Ak Mac nemá použiteľný súkromný kľúč pre identitu, voľba typu spojenie nezachráni.
Spravované profily robia rovnaké rozhodnutie cez CertificateType v dátovej časti IKEv2 spolu s odkazom na certifikát, napríklad PayloadCertificateUUID. Tieto polia majú predpoklady a schému pre cieľovú verziu operačného systému; holá hodnota typu skopírovaná do profilu nie je inštalovateľná a okno nastavení nemusí zobrazovať každú možnosť API. Pred nasadením skontrolujte predpoklady dátovej časti pre danú verziu.
Rozhodujte podľa roly, nie podľa označenia certifikátu
Prečítajte si pole, ktoré sa chystáte zmeniť, a spýtajte sa, na ktorý certifikát ukazuje. Označenia v prehliadači certifikátov miešajú subjekt, vydavateľa a algoritmus podpisu, a len jedno z nich patrí k voľbe identity klienta.
| What you inspected | What it controls | Does it choose the Mac certificate type? |
|---|---|---|
| Client leaf public key | The identity the Mac presents | Yes, this is the field's subject |
| Issuer signature algorithm | How the client certificate was signed | No |
| Gateway certificate | What the Mac validates as the peer | No, check it separately |
| IKE and ESP proposals | Algorithms for the tunnel | No, separate proposal settings |
Ak prehliadač certifikátov zobrazuje podpis ECDSA od CA, opisuje to podpisový kľúč vydavateľa. Vlastný kľúč klienta môže byť stále RSA a pole typu má nasledovať klientsky kľúč, nie riadok podpisu. Toto jediné zmätenie vysvetľuje mnoho hlásení "ECDSA je nastavené, ale spojenie zlyháva". Porovnajte typ kľúča v koncovom certifikáte s typom zvoleným v profile, skôr než čokoľvek zmeníte.
Rozhodnutie sa zjednoduší, keď je koncový certifikát určený: ECDSA256 pre klientsky kľúč p-256, iný podporovaný typ pre odlišný kľúč. Ak klientsky certifikát a jeho kľúč nesúhlasia, opravte túto dvojicu pred zmenou profilu VPN.
Certifikát brány je samostatné rozhodnutie
Brána predkladá vlastný certifikát a Mac ho overuje voči kotve dôvery a očakávanému názvu. Či tento certifikát používa ECDSA, RSA alebo iný typ kľúča, je vlastnosť servera, nie nastavenia identity klienta.
Miestna podpora klientskeho certifikátu ECDSA nedokazuje, že každý certifikát brány, krivka alebo konfigurácia overovania servera budú spolupracovať. Skontrolujte identitu servera, jeho reťaz a metódu overovania IKE ako samostatné vstupy a testujte s profilom, ktorý bude skutočne nasadený.
Ak je problémom certifikát brány, príznak sa zvyčajne objaví pri overovaní protistrany, nie pri voľbe identity. Prečítajte si fázu zlyhania, skôr než zmeníte typ klienta, pretože zlyhanie dôvery a nesúlad klientskeho kľúča nemajú spoločnú opravu.
Podpis vydavateľa a skupina dohody kľúčov nie sú typ klienta
X.509 drží verejný kľúč subjektu a podpis vydavateľa v rôznych poliach. Informácia o verejnom kľúči subjektu opisuje kľúč v certifikáte; algoritmus podpisu opisuje kľúč CA a operáciu podpisu. Nastaveniu typu certifikátu zodpovedá len prvá z nich.
Návrhy IKE a Child SA sú ďalšia os. Typ certifikátu ECDSA nie je voľbou šifrovania ESP a zmena skupiny dohody kľúčov nevyberá typ certifikátu. Profil môže mať platné návrhy a nesprávny typ identity, alebo správny typ identity a návrh, ktorý protistrana odmieta.
V zázname zmien držte tri riadky oddelene: certifikát identity a kľúč, vstupy dôvery brány a algoritmy návrhov. Ich spojenie do jednej poznámky "krypto nastavenia" robí nasledujúce zlyhanie nepriraditeľným.
Overte rozhodnutie v poliach, ktoré ste nastavili
Skontrolujte identitu, na ktorú profil skutočne odkazuje, a potom potvrďte, že certifikát na tomto odkaze má očakávaný verejný kľúč a použiteľný súkromný kľúč. Zobrazený typ v rozhraní, odkazovaný certifikát a kľúč v zariadení sa musia zhodovať.
Ďalej potvrďte vstupy brány: očakávaný názov servera, kotvu dôvery a metódu overovania IKE. Nakoniec sa pripojte a prečítajte, kde sa handshake zastaví. Zlyhanie pred výmenou identity ukazuje mimo tohto nastavenia; zlyhanie pri overovaní protistrany ukazuje na stranu brány.
Zapíšte zvolený typ, odkaz na identitu a subjekt certifikátu brány do poznámok k nasadeniu. Ďalšia aktualizácia profilu môže zmeniť ktorýkoľvek z nich a tri pomenované hodnoty sa porovnávajú rýchlejšie než snímka obrazovky panela nastavení.