VPN certifikát na Macu: ktorý účet vidí brána?

Profil zobrazuje vaše meno, viditeľný štítok certifikátu hovorí niečo iné a protokol brány zaznamenáva tretí identifikátor. Žiadny z nich neklame a práve v tom je problém: tri rôzne polia sa čítajú, akoby odpovedali na jednu otázku. Spojenie predkladá poverenie, identifikátor IKEv2 a účet a brána rozhoduje, ktoré z nich čo oprávňuje.

Tri identity v jednom spojení

Viditeľné meno profilu je štítok pre ľudí. Vyberá spojenie a nič viac. Certifikát je poverenie a to, či môže niečo dokázať, závisí od toho, či klient má zodpovedajúci súkromný kľúč. Pole účtu je tvrdenie o princípovi a server ho môže ľubovoľne namapovať na inú lokálnu identitu.

Keď overenie zlyhá, opýtajte sa, na ktoré z troch sa chyba vzťahuje. Odmietnuté poverenie, neznámy identifikátor a deaktivovaný účet vytvárajú rôzne správy a ich zlievanie do jedného „problému s certifikátom“ vás pošle do nesprávnej konzoly.

Čítajte natívne polia podľa ich úlohy

V spravovanej natívnej konfigurácii IKEv2 oddeľuje referencia užitočného zaťaženia Apple hodnoty a metóda overenia určuje, ktorá kombinácia je potrebná:

Certifikát a prihlásenie EAP môžu mať v tom istom spojení rôzne úlohy. Nenúťte každé pole držať rovnaký text len preto, že to robí jedno z nich, a nepredpokladajte, že zmena jedného zruší ostatné. VPN aplikácia tretej strany môže ponúkať úplne iný model; použite jej dokumentovaný výber identity namiesto prenášania natívnych názvov polí.

Certifikát servera nie je identita klienta

Certifikát, ktorý overuje bránu, je kotva dôvery. Dokazuje, že ste dosiahli server, ktorý ste očakávali. Identita klienta je iný objekt: zahŕňa prístup k súkromnému kľúču, ktorý dokazuje, že pripájajúca sa strana je tou, za ktorú sa vydáva. Premenovanie viditeľného účtu nemôže jedno premeniť na druhé.

Tu sa dobre mienená oprava pokazí. Import certifikátu CA brány do úložiska klienta nič nerobí pre overenie klienta a označenie tohto záznamu menom používateľa z neho nerobí identitu používateľa. Oba objekty žijú v rôznych častiach profilu a odpovedajú na rôzne otázky.

Sledujte princíp až k mapovaniu na bráne

Potvrďte, na čo bolo poverenie vydané: tomuto používateľovi, tomuto zariadeniu alebo zdieľanej role. Prihlasovací účet Macu nie je automaticky tým princípom a certifikát skopírovaný z iného stroja si zachováva identitu stroja, pre ktorý bol vydaný.

Potom porovnajte skutočné poverenie, nie štítok. Vydavateľ, sériové číslo a odtlačok prsta vám a správcovi umožnia potvrdiť, že hovoríte o tom istom objekte. Zobrazované mená sa dajú upravovať a často sa duplikujú, čo z nich robí najhorší možný identifikátor počas incidentu.

Posledný krok je na bráne. Požiadajte jej vlastníka, aby spojil jedno pripojenie s predloženými identifikátormi a s pravidlom mapovania účtov, ktoré ich použilo. Štítok na strane klienta nemôže určiť, čo server rozhodol, a pravidlo, ktoré mapuje certifikát na deaktivovaný účet, bude zlyhávať, aj keď všetky polia na strane klienta vyzerajú správne.

Opravte vrstvu, ktorej patrí nesúlad

Ak profil ukazuje na nesprávne poverenie, opravte jeho referenciu alebo výber. Ak poverenie patrí inému princípovi, prejdite opätovnou registráciou u vydavateľa namiesto úpravy štítkov. Ak brána viaže platné poverenie na nesprávny účet, jej vlastník politiky musí opraviť mapovanie. To sú tri rôzne zmeny s tromi rôznymi schvaľovateľmi.

Obnova si zaslúži rovnakú starostlivosť. Výmena certifikátu, premenovanie jeho viditeľného štítku a presun osoby medzi systémami účtov nemusia ovplyvniť mapovanie rovnakým spôsobom. Zaznamenajte, ktorú z troch vecí ste zmenili, pretože ďalšie zlyhanie bude z pohľadu klienta vyzerať rovnako a v protokole brány inak.

Zdieľajte len minimálne verejné identifikátory, ktoré podpora potrebuje. Súkromný kľúč alebo celý balík identity nikdy nie je súčasťou tejto výmeny, nech by to diagnózu akokoľvek uľahčilo.