Certifikát VPN na Macu: prečo výber identity zostáva prázdny

Nainštalovali ste certifikát, zobrazuje sa v Keychain Access s priateľským názvom a výber identity klienta VPN zostáva prázdny. Klient nehľadá certifikát. Hľadá identitu: certifikát spojený so súkromným kľúčom, ktorý dokáže preukázať vlastníctvo, uložený tam, kde ho klient smie čítať.

To, o čo klient žiada, je identita

Bezpečnostný rámec Apple považuje certifikát a identitu za rôzne objekty. Certifikát sú verejné údaje. Identita je ten certifikát spolu s jeho súkromným kľúčom, a iba identita dokáže dokončiť výzvu. Dôveryhodný certifikát CA naopak umožňuje klientovi vyhodnotiť vydavateľa; nerobí z počítača držiteľa vydaných klientskych údajov.

Preto import súboru .cer nikdy nevytvorí použiteľnú identitu klienta. Súbor obsahuje iba verejný materiál, a žiadne premenovanie ani dôvera z neho neurobí pár kľúčov.

Tri dôvody, prečo výber zostáva prázdny

Prvý je chýbajúci súkromný kľúč, čo znamená, že proces registrácie alebo importu ho nedodal. Druhý je úložisko, ktoré klient neprehliada: profil v používateľskom rozsahu hľadá v používateľovom zväzku kľúčov, a položka umiestnená v systémovom úložisku mu môže byť neviditeľná. Tretí je nesúlad účelu alebo politiky, keď certifikát existuje, ale nie je platný na overenie klienta podľa pravidiel nasadenia.

security find-identity -v -p ssl-client

Toto uvádza identity, ktoré systém považuje za platné na overenie klienta. Ak je počet nula, problém je pred klientom VPN a žiadna úprava profilu ho neopraví. Ak sa identita zobrazuje tu, ale nie v klientovi, rozdiel je v úložisku alebo rozsahu klienta.

Kde žije súkromný kľúč a kto ho smie používať

Keď importujete identitu cez Keychain Access, dialóg importu ponúkne cieľový zväzok kľúčov. Ktorý cieľ je správny, závisí od klienta a od toho, či má profil používateľský alebo zariadenový rozsah. Stará odpoveď odporúčajúca systémový zväzok kľúčov nie je univerzálne pravidlo, a kopírovanie položiek medzi úložiskami nie je oprava.

System Roots je zbierka dôvery. Umiestnenie certifikátu tam mení, ktorým vydavateľom systém dôveruje; nevytvára súkromný kľúč a nie je to úložisko identít. Presúvanie nesúvisiacich certifikátov, aby sa naplnil výber, je typ opravy, po ktorej počítač zostane s natrvalo rozšírenou množinou dôvery.

Prístup k súkromnému kľúču je samostatná kontrola. Udelenie povolenia každému programu používať kľúč rieši problém výberu jedného klienta a odovzdáva rovnakú schopnosť všetkému ostatnému na počítači. Udeľte ho klientovi, ktorý ho potrebuje, a skontrolujte, či je kľúč hardvérovo podporovaný alebo označený ako neexportovateľný; ak áno, treba použiť podporovaného poskytovateľa namiesto exportovanej kópie.

Ako profil ukazuje na údaje

V spravovanej natívnej konfigurácii IKEv2 profil odkazuje na svoje údajové pole cez PayloadCertificateUUID. Dôležitá je odkazovaná identita a spôsob, akým bola poskytnutá; úprava zobrazovaného názvu v profile neopraví odkaz, ktorý ukazuje na nesprávne pole alebo na také, ktoré nikdy nedodalo kľúč.

Poskytovateľ tretej strany môže používať úplne iný mechanizmus výberu, napríklad vlastné úložisko alebo systémovú výzvu. Prečítajte si dokumentáciu toho poskytovateľa namiesto prenášania predpokladov natívneho profilu, a overte odkaz v profile, ktorý je skutočne nainštalovaný, nie v koncepte v riadiacej konzole.

Výber a prijatie sú samostatné etapy

Naplnený výber znamená, že klient dokáže nájsť identitu a použiť ju. Nehovorí nič o tom, či ju brána prijme. Server stále kontroluje vydavateľa, okno platnosti, stav odvolania a namapovanie tých údajov na účet.

Otestujte obe etapy výslovne, v tomto poradí. Potvrďte, že identita je ponúkaná, pripojte sa a potom požiadajte vlastníka brány, aby potvrdil, ktoré údaje boli predložené a ktoré pravidlo mapovania ich využilo. Ak klient ponúka identitu a server ju odmietne, zostávajúca práca je na strane servera. Preinštalovanie certifikátu na Macu tento výsledok nezmení, nech sa opakuje akokoľvek často.