Certifikat VPN na Macu: kateri račun vidi prehod?

Profil prikazuje vaše ime, vidna oznaka certifikata pravi nekaj drugega, dnevnik prehoda pa zabeleži tretji identifikator. Noben od njih ne laže, in prav to je težava: tri različna polja se berejo, kot da odgovarjajo na eno vprašanje. Povezava predstavi poverilnico, identifikator IKEv2 in račun, prehod pa odloči, kateri od njih kaj dovoljuje.

Tri identitete v eni povezavi

Vidno ime profila je oznaka za ljudi. Izbere povezavo in nič drugega. Certifikat je poverilnica, in ali lahko kaj dokaže, je odvisno od tega, ali ima odjemalec ustrezni zasebni ključ. Polje računa je trditev o principalu, strežnik pa ga lahko prosto preslika v drugo lokalno identiteto.

Ko preverjanje pristnosti ne uspe, vprašajte, na katero od treh se napaka nanaša. Zavrnjena poverilnica, neznan identifikator in onemogočen račun dajejo različna sporočila, in obravnavanje vseh kot ene «težave s certifikatom» vas pošlje v napačno konzolo.

Izvorna polja berite po njihovi nalogi

V upravljani izvorni konfiguraciji IKEv2 referenca koristnega tovora Apple loči vrednosti, način preverjanja pristnosti pa določi, katera kombinacija je potrebna:

Certifikat in prijava EAP imata lahko v isti povezavi različni vlogi. Ne silite vsakega polja, da bi vsebovalo isto besedilo samo zato, ker eno od njih to počne, in ne domnevajte, da sprememba enega razveljavi druga. VPN-aplikacija tretje strani lahko ponudi povsem drugačen model; uporabite njen dokumentirani izbor identitete, namesto da bi vanjo prenašali izvorna imena polj.

Strežniški certifikat ni identiteta odjemalca

Certifikat, ki potrjuje prehod, je sidro zaupanja. Dokazuje, da ste dosegli pričakovani strežnik. Identiteta odjemalca je drug objekt: vključuje dostop do zasebnega ključa, ki dokazuje, da je stran, ki se povezuje, tista, za katero se predstavlja. Preimenovanje vidnega računa ne more enega spremeniti v drugega.

Tu se dobronamerni popravek zalomi. Uvoz certifikata CA prehoda v shrambo odjemalca ne naredi ničesar za preverjanje pristnosti odjemalca, in označitev tega vnosa z uporabniškim imenom ga ne spremeni v uporabniško identiteto. Objekta živita v različnih delih profila in odgovarjata na različna vprašanja.

Sledite principal do preslikave na prehodu

Potrdite, za kaj je bila poverilnica izdana: za tega uporabnika, to napravo ali skupno vlogo. Prijavni račun Maca ni samodejno ta principal, in certifikat, kopiran z drugega računalnika, ohrani identiteto računalnika, za katerega je bil izdan.

Nato primerjajte dejansko poverilnico, ne oznake. Izdajatelj, serijska številka in prstni odtis vam in skrbniku omogočijo, da potrdite, da govorite o istem objektu. Prikazana imena je mogoče urejati in se pogosto podvajajo, zato so med incidentom najslabši možni identifikator.

Zadnji korak je na prehodu. Prosite njegovega lastnika, da eno povezavo poveže s predstavljenimi identifikatorji in s pravilom preslikave računov, ki jih je porabilo. Oznaka na strani odjemalca ne more ugotoviti, kaj je strežnik odločil, in pravilo, ki preslika certifikat v onemogočen račun, bo odpovedalo, medtem ko so vsa polja na strani odjemalca videti pravilna.

Popravite plast, ki ji pripada neskladje

Če profil kaže na napačno poverilnico, popravite njeno referenco ali izbiro. Če poverilnica pripada drugemu principalu, pojdite skozi ponovno registracijo pri izdajatelju, namesto da urejate oznake. Če prehod veže veljavno poverilnico na napačen račun, mora njegov lastnik pravil preslikavo popraviti. To so tri različne spremembe s tremi različnimi odobritelji.

Podaljšanje si zasluži enako skrbnost. Zamenjava certifikata, preimenovanje njegove vidne oznake in premik osebe med sistemi računov ne vplivajo nujno na preslikavo na enak način. Zabeležite, katero od treh ste spremenili, ker bo naslednja okvara z vidika odjemalca videti enaka, v dnevniku prehoda pa drugačna.

Delite le najnujnejše javne identifikatorje, ki jih podpora potrebuje. Zasebni ključ ali celoten paket identitete nikoli ni del te izmenjave, ne glede na to, kako priročno bi bilo za diagnostiko.