Mac IKEv2 ECDSA: cili lloj certifikate i përket klientit?
Në një Mac, ECDSA256 në cilësimet e IKEv2 përshkruan certifikatën vendore të identitetit, jo portën ose nënshkrimin e lëshuesit. Lexoni çdo rol para se të zgjidhni.
Në macOS, zgjedhja e ECDSA në një cilësim klienti IKEv2 i përgjigjet një pyetjeje të ngushtë: cila certifikatë provon identitetin e Mac. Ajo nuk përshkruan certifikatën e portës, nënshkrimin që lëshoi certifikatën e klientit, ose propozimin e kriptimit për tunelin. Trajtimi i këtyre katër roleve si një pyetje e vetme përputhshmërie është mënyra se si një cilësim vendor i saktë akuzohet për një mospërputhje nga ana e serverit. Vendimi është i vogël, por provat e përdorura për të duhet të jenë të sakta.
Fusha emërton një certifikatë: identitetin vendor
Network Extension API e Apple ekspozon një lloj certifikate për kredencialet e klientit, duke përfshirë NEVPNIKEv2CertificateType.ECDSA256, të dokumentuar si lloji i certifikatës ECDSA p-256. Vetia zbatohet për certifikatën e ofruar përmes identityReference ose identityData.
Kjo do të thotë që vendimi ka të bëjë me certifikatën që Mac paraqet, bashkë me çelësin privat që e shoqëron. Zgjidhni llojin që përputhet me çelësin publik të asaj certifikate gjethe dhe jepni identitetin përmes mekanizmit të mbështetur. Nëse Mac nuk ka një çelës privat të përdorshëm për identitetin, zgjedhja e llojit nuk mund ta shpëtojë lidhjen.
Profilet e menaxhuara marrin të njëjtin vendim përmes CertificateType të ngarkesës IKEv2, së bashku me një referencë certifikate si PayloadCertificateUUID. Këto fusha kanë parakushte dhe një skemë për versionin e sistemit operativ të synuar; një vlerë e zhveshur e llojit e kopjuar në profil nuk instalohet, dhe dritarja e cilësimeve mund të mos ekspozojë çdo opsion të API. Kontrolloni parakushtet e ngarkesës për atë version përpara vendosjes.
Vendosni sipas rolit, jo sipas etiketës së certifikatës
Lexoni fushën që do të ndryshoni dhe pyesni se në cilën certifikatë tregon. Etiketat në një shikues certifikatash përziejnë subjektin, lëshuesin dhe algoritmin e nënshkrimit, dhe vetëm njëra prej tyre i përket zgjedhjes së identitetit të klientit.
| What you inspected | What it controls | Does it choose the Mac certificate type? |
|---|---|---|
| Client leaf public key | The identity the Mac presents | Yes, this is the field's subject |
| Issuer signature algorithm | How the client certificate was signed | No |
| Gateway certificate | What the Mac validates as the peer | No, check it separately |
| IKE and ESP proposals | Algorithms for the tunnel | No, separate proposal settings |
Nëse shikuesi i certifikatave tregon një nënshkrim ECDSA nga CA, kjo përshkruan çelësin e nënshkrimit të lëshuesit. Çelësi i vetë klientit mund të jetë ende RSA, dhe fusha e llojit duhet të ndjekë çelësin e klientit, jo rreshtin e nënshkrimit. Ky konfuzion i vetëm shpjegon shumë raporte të tipit "ECDSA është konfiguruar, por lidhja dështon". Krahasoni llojin e çelësit në gjethe me llojin e zgjedhur në profil përpara se të ndryshoni ndonjë gjë.
Vendimi bëhet më i thjeshtë pasi gjethet identifikohet: ECDSA256 për një çelës klienti p-256, një lloj tjetër i mbështetur për një çelës të ndryshëm. Nëse certifikata e klientit dhe çelësi i saj nuk përputhen, rregulloni atë palë përpara se të ndryshoni profilin e VPN.
Certifikata e portës është një vendim i veçantë
Porta paraqet certifikatën e vet dhe Mac e vërteton atë kundrejt një ankre besimi dhe një emri të pritur. Nëse ajo certifikatë përdor ECDSA, RSA ose një lloj tjetër çelësi, është veti e serverit, jo e cilësimit të identitetit të klientit.
Mbështetja vendore për një certifikatë klienti ECDSA nuk provon se çdo certifikatë porte, kurbë ose konfigurim vërtetimi serveri do të ndërveprojë. Kontrolloni identitetin e serverit, zinxhirin e tij dhe metodën e vërtetimit IKE si hyrje të veçanta, dhe provoni me profilin që do të vendoset në të vërtetë.
Nëse certifikata e portës është problemi, simptomi zakonisht shfaqet gjatë vërtetimit të palës tjetër, jo në zgjedhjen e identitetit. Lexoni fazën e dështimit përpara se të ndryshoni llojin e klientit, sepse një dështim besimi dhe një mospërputhje e çelësit të klientit nuk ndajnë të njëjtin rregullim.
Nënshkrimi i lëshuesit dhe grupi i marrëveshjes së çelësave nuk janë lloji i klientit
X.509 mban çelësin publik të subjektit dhe nënshkrimin e lëshuesit në fusha të ndryshme. Informacioni i çelësit publik të subjektit përshkruan çelësin në certifikatë; algoritmi i nënshkrimit përshkruan çelësin e CA dhe veprimin e nënshkrimit. Vetëm i pari përputhet me cilësimin e llojit të certifikatës.
Propozimet IKE dhe Child SA janë një aks tjetër. Një lloj certifikate ECDSA nuk është zgjedhje e kriptimit ESP, dhe ndryshimi i grupit të marrëveshjes së çelësave nuk zgjedh një lloj certifikate. Një profil mund të ketë propozime të vlefshme dhe llojin e gabuar të identitetit, ose llojin e saktë të identitetit dhe një propozim që pala tjetër e refuzon.
Mbani tre rreshtat të ndarë në regjistrin e ndryshimeve: certifikata dhe çelësi i identitetit, hyrjet e besimit të portës dhe algoritmet e propozimeve. Bashkimi i tyre në një shënim të vetëm "cilësime kripto" e bën dështimin e radhës të paatribuueshëm.
Verifikoni vendimin me fushat që keni konfiguruar
Kontrolloni identitetin të cilin profili referon në të vërtetë, pastaj konfirmoni se certifikata në atë referencë ka çelësin publik të pritur dhe një çelës privat të përdorshëm. Lloji i shfaqur në ndërfaqe, certifikata e referuar dhe çelësi në pajisje duhet të përputhen.
Më pas konfirmoni hyrjet e portës: emrin e pritur të serverit, ankrën e besimit dhe metodën e vërtetimit IKE. Së fundi, lidhuni dhe lexoni ku ndalon shtrëngimi i duarve. Një dështim përpara shkëmbimit të identitetit tregon larg këtij cilësimi; një dështim në vërtetimin e palës tjetër tregon nga ana e portës.
Shënoni llojin e zgjedhur, referencën e identitetit dhe subjektin e certifikatës së portës në shënimet e vendosjes. Përditësimi i radhës i profilit mund të ndryshojë cilindo prej tyre, dhe tre vlera të emërtuara krahasohen më shpejt sesa një pamje ekrani e një paneli cilësimesh.