Certifikat VPN za Mac: zakaj izbirnik identitete ostane prazen

Namestili ste certifikat, prikaže se v Keychain Access s prijaznim imenom, izbirnik identitete odjemalca VPN pa ostane prazen. Odjemalec ne išče certifikata. Išče identiteto: certifikat, povezan z zasebnim ključem, ki lahko dokaže lastništvo, shranjen tam, kjer ga odjemalec sme brati.

Kar odjemalec zahteva, je identiteta

Applov varnostni okvir obravnava certifikat in identiteto kot različna objekta. Certifikat so javni podatki. Identiteta je ta certifikat skupaj z zasebnim ključem, in samo identiteta lahko dokonča izziv. Zaupanja vreden CA certifikat pa odjemalcu omogoča, da oceni izdajatelja; stroja ne naredi za imetnika izdanih odjemalskih poverilnic.

Zato uvoz datoteke .cer nikoli ne ustvari uporabne identitete odjemalca. Datoteka vsebuje samo javno gradivo, in nobeno preimenovanje ali zaupanje iz nje ne naredi para ključev.

Trije razlogi, zakaj izbirnik ostane prazen

Prvi je manjkajoči zasebni ključ, kar pomeni, da ga postopek registracije ali uvoza ni dostavil. Drugi je shramba, ki je odjemalec ne preverja: profil z uporabniškim obsegom gleda v uporabnikov snop ključev, in element, nameščen v sistemsko shrambo, mu je lahko neviden. Tretji je neskladje namena ali pravilnika, ko certifikat obstaja, a ni veljaven za preverjanje pristnosti odjemalca po pravilih uvajanja.

security find-identity -v -p ssl-client

To našteje identitete, ki jih sistem šteje za veljavne za preverjanje pristnosti odjemalca. Če je število nič, je težava pred odjemalcem VPN in nobeno urejanje profila je ne bo odpravilo. Če se identiteta prikaže tukaj, a ne v odjemalcu, je razlika v shrambi ali obsegu odjemalca.

Kje živi zasebni ključ in kdo ga sme uporabljati

Ko uvozite identiteto prek Keychain Access, pogovorno okno za uvoz ponudi ciljni snop ključev. Kateri cilj je pravi, je odvisno od odjemalca in od tega, ali ima profil uporabniški ali napravni obseg. Star odgovor, ki priporoča sistemski snop ključev, ni univerzalno pravilo, in kopiranje elementov med shrambami ni popravilo.

System Roots je zbirka zaupanja. Namestitev certifikata tja spremeni, katerim izdajateljem sistem zaupa; ne ustvari zasebnega ključa in ni shramba identitet. Premikanje nepovezanih certifikatov, da bi napolnili izbirnik, je vrsta popravila, po katerem stroj ostane s trajno razširjenim naborom zaupanja.

Dostop do zasebnega ključa je ločena kontrola. Podelitev dovoljenja vsaki aplikaciji za uporabo ključa reši težavo izbire enega odjemalca in prenese isto zmožnost na vse drugo na stroju. Podelite ga odjemalcu, ki ga potrebuje, in preverite, ali je ključ strojno podprt ali označen kot neizvozljiv; če je, je treba uporabiti podprtega ponudnika namesto izvožene kopije.

Kako profil kaže na poverilnico

V upravljani izvorni konfiguraciji IKEv2 profil sklicuje svojo nosilno obremenitev poverilnice prek PayloadCertificateUUID. Pomembna sta sklicana identiteta in način njene zagotovitve; urejanje prikaznega imena v profilu ne popravi sklica, ki kaže na napačno obremenitev ali na tisto, ki ni nikoli dostavila ključa.

Ponudnik tretje strani lahko uporablja povsem drugačen mehanizem izbire, na primer lastno shrambo ali sistemski poziv. Preberite dokumentacijo tega ponudnika, namesto da bi prenašali predpostavke izvornega profila, in preverite sklic v profilu, ki je dejansko nameščen, ne v osnutku v upravljalni konzoli.

Izbira in sprejem sta ločena mejnika

Napolnjen izbirnik pomeni, da odjemalec lahko najde identiteto in jo uporabi. Ne pove ničesar o tem, ali jo bo prehod sprejel. Strežnik še vedno preverja izdajatelja, obdobje veljavnosti, stanje preklica in preslikavo te poverilnice na račun.

Preizkusite obe stopnji izrecno, v tem vrstnem redu. Potrdite, da je identiteta ponujena, povežite se in nato prosite lastnika prehoda, da potrdi, katera poverilnica je bila predstavljena in katero pravilo preslikave jo je porabilo. Če odjemalec ponudi identiteto in strežnik jo zavrne, je preostalo delo na strani strežnika. Ponovna namestitev certifikata na Macu tega izida ne bo spremenila, kolikorkrat koli se ponovi.