Mac IKEv2 ECDSA: kateri tip potrdila pripada odjemalcu?
Na Macu ECDSA256 v nastavitvah IKEv2 opisuje lokalno potrdilo identitete, ne prehoda ali podpisa izdajatelja. Pred izbiro preberite vsako vlogo.
V macOS izbira ECDSA v nastavitvi odjemalca IKEv2 odgovarja na ozko vprašanje: katero potrdilo dokazuje identiteto Maca. Ne opisuje potrdila prehoda, podpisa, s katerim je bilo izdano odjemalsko potrdilo, ali predloga šifriranja za tunel. Obravnavanje teh štirih vlog kot enega vprašanja združljivosti je razlog, da je pravilna lokalna nastavitev obtožena neskladja na strani strežnika. Odločitev je majhna, a dokazi zanjo morajo biti natančni.
Polje poimenuje eno potrdilo: lokalno identiteto
Network Extension API družbe Apple izpostavi tip potrdila za odjemalske poverilnice, vključno z NEVPNIKEv2CertificateType.ECDSA256, dokumentiran kot tip potrdila ECDSA p-256. Lastnost velja za potrdilo, dostavljeno prek identityReference ali identityData.
To pomeni, da se odločitev nanaša na potrdilo, ki ga Mac predstavi, in na zasebni ključ, ki mu pripada. Izberite tip, ki ustreza javnemu ključu tega listnega potrdila, in identiteto zagotovite s podprtim mehanizmom. Če Mac nima uporabnega zasebnega ključa za identiteto, izbira tipa ne more rešiti povezave.
Upravljani profili sprejmejo enako odločitev prek CertificateType vsebine IKEv2 skupaj s sklicem na potrdilo, kot je PayloadCertificateUUID. Ta polja imajo predpogoje in shemo za ciljno različico operacijskega sistema; gola vrednost tipa, kopirana v profil, ni namestljiva, okno z nastavitvami pa morda ne izpostavi vseh možnosti API. Pred uvajanjem preverite predpogoje vsebine za to različico.
Odločite se po vlogi, ne po oznaki potrdila
Preberite polje, ki ga boste spremenili, in se vprašajte, na katero potrdilo kaže. Oznake v pregledovalniku potrdil mešajo subjekt, izdajatelja in algoritem podpisa, le ena od njih pa spada k izbiri identitete odjemalca.
| What you inspected | What it controls | Does it choose the Mac certificate type? |
|---|---|---|
| Client leaf public key | The identity the Mac presents | Yes, this is the field's subject |
| Issuer signature algorithm | How the client certificate was signed | No |
| Gateway certificate | What the Mac validates as the peer | No, check it separately |
| IKE and ESP proposals | Algorithms for the tunnel | No, separate proposal settings |
Če pregledovalnik potrdil prikazuje podpis ECDSA od CA, to opisuje podpisni ključ izdajatelja. Odjemalčev lastni ključ je lahko še vedno RSA, polje tipa pa mora slediti odjemalskemu ključu, ne vrstici podpisa. Ta ena zmeda pojasnjuje številna poročila "ECDSA je nastavljen, a povezava ne uspe". Primerjajte tip ključa v listu s tipom, izbranim v profilu, preden karkoli spremenite.
Odločitev postane preprostejša, ko je list prepoznan: ECDSA256 za odjemalski ključ p-256, drug podprt tip za drugačen ključ. Če se odjemalsko potrdilo in njegov ključ ne ujemata, popravite ta par, preden spremenite profil VPN.
Potrdilo prehoda je ločena odločitev
Prehod predstavi svoje potrdilo, Mac pa ga preveri glede na sidro zaupanja in pričakovano ime. Ali to potrdilo uporablja ECDSA, RSA ali drug tip ključa, je lastnost strežnika, ne nastavitve identitete odjemalca.
Lokalna podpora potrdilu odjemalca ECDSA ne dokazuje, da bodo vsa potrdila prehoda, krivulje ali konfiguracije preverjanja strežnika medsebojno delovale. Preverite identiteto strežnika, njegovo verigo in metodo preverjanja IKE kot ločene vhode ter preizkusite s profilom, ki bo dejansko uveden.
Če je težava potrdilo prehoda, simptom se običajno pojavi med preverjanjem partnerja, ne pri izbiri identitete. Preberite stopnjo napake, preden spremenite tip odjemalca, ker napaka zaupanja in nesklad odjemalskega ključa nimata skupne rešitve.
Podpis izdajatelja in skupina za dogovor o ključih nista tip odjemalca
X.509 hrani javni ključ subjekta in podpis izdajatelja v različnih poljih. Podatek o javnem ključu subjekta opisuje ključ v potrdilu; algoritem podpisa opisuje ključ CA in postopek podpisovanja. Le prvo ustreza nastavitvi tipa potrdila.
Predloga IKE in Child SA sta druga os. Tip potrdila ECDSA ni izbira šifriranja ESP in sprememba skupine za dogovor o ključih ne izbere tipa potrdila. Profil ima lahko veljavne predloge in napačen tip identitete ali pravilen tip identitete in predlog, ki ga partner zavrne.
V dnevniku sprememb imejte tri vrstice ločene: potrdilo in ključ identitete, vhode zaupanja prehoda in algoritme predlogov. Njihovo združevanje v eno opombo "kripto nastavitve" naredi naslednjo napako nepripisljivo.
Preverite odločitev s polji, ki ste jih nastavili
Preverite identiteto, na katero profil dejansko sklicuje, nato potrdite, da ima potrdilo na tem sklicu pričakovani javni ključ in uporaben zasebni ključ. Prikazani tip v vmesniku, sklicano potrdilo in ključ v napravi se morajo ujemati.
Nato potrdite vhode prehoda: pričakovano ime strežnika, sidro zaupanja in metodo preverjanja IKE. Nazadnje se povežite in preberite, kje se rokovanje ustavi. Napaka pred izmenjavo identitet kaže stran od te nastavitve; napaka pri preverjanju partnerja kaže na stran prehoda.
Zapišite izbrani tip, sklic na identiteto in subjekt potrdila prehoda v opombe za uvajanje. Naslednja posodobitev profila lahko spremeni katero koli od njih, tri poimenovane vrednosti pa se primerjajo hitreje kot posnetek zaslona plošče z nastavitvami.