Mac IKEv2 ECDSA: који тип сертификата припада клијенту?
На Mac-у ECDSA256 у подешавањима IKEv2 описује локални сертификат идентитета, а не мрежни пролаз или потпис издаваоца. Прочитајте сваку улогу пре избора.
На macOS-у избор ECDSA у подешавању IKEv2 клијента одговара на уско питање: који сертификат доказује идентитет Mac-а. Он не описује сертификат пролаза, потпис којим је издат клијентски сертификат, ни предлог шифровања за тунел. Третирање те четири улоге као једног питања компатибилности је начин на који исправно локално подешавање бива окривљено за неслагање на страни сервера. Одлука је мала, али докази на којима се заснива морају бити прецизни.
Поље именује један сертификат: локални идентитет
Network Extension API компаније Apple излаже тип сертификата за клијентске акредитиве, укључујући NEVPNIKEv2CertificateType.ECDSA256, документован као тип сертификата ECDSA p-256. Својство се примењује на сертификат достављен кроз identityReference или identityData.
То значи да се одлука тиче сертификата који Mac представља, заједно са приватним кључем који иде уз њега. Изаберите тип који одговара јавном кључу тог лисног сертификата и доставите идентитет кроз подржани механизам. Ако Mac нема употребљив приватни кључ за идентитет, избор типа не може да спасе везу.
Управљани профили доносе исту одлуку кроз CertificateType IKEv2 носивог терета, у пару са референцом на сертификат као што је PayloadCertificateUUID. Та поља имају предуслове и шему за циљну верзију оперативног система; гола вредност типа копирана у профил није инсталабилна, а прозор подешавања можда не излаже сваку API опцију. Проверите предуслове носивог терета за ту верзију пре примене.
Одлучујте по улози, не по ознаци сертификата
Прочитајте поље које ћете променити и питајте на који сертификат показује. Ознаке у прегледачу сертификата мешају субјекат, издаваоца и алгоритам потписа, а само једна од њих припада избору идентитета клијента.
| What you inspected | What it controls | Does it choose the Mac certificate type? |
|---|---|---|
| Client leaf public key | The identity the Mac presents | Yes, this is the field's subject |
| Issuer signature algorithm | How the client certificate was signed | No |
| Gateway certificate | What the Mac validates as the peer | No, check it separately |
| IKE and ESP proposals | Algorithms for the tunnel | No, separate proposal settings |
Ако прегледач сертификата приказује ECDSA потпис од CA, то описује кључ за потписивање издаваоца. Клијентов властити кључ и даље може бити RSA, а поље типа треба да следи клијентски кључ, а не ред потписа. Ова једна забуна објашњава многе извештаје "ECDSA је конфигурисан, али веза не успева". Упоредите тип кључа у листу са типом изабраним у профилу пре него што било шта промените.
Одлука постаје једноставнија када се лист идентификује: ECDSA256 за p-256 клијентски кључ, други подржани тип за другачији кључ. Ако се клијентски сертификат и његов кључ не подударају, поправите тај пар пре промене VPN профила.
Сертификат пролаза је засебна одлука
Пролаз представља сопствени сертификат и Mac га валидира према сидру поверења и очекиваном имену. Да ли тај сертификат користи ECDSA, RSA или други тип кључа, својство је сервера, а не подешавања идентитета клијента.
Локална подршка за ECDSA клијентски сертификат не доказује да ће сваки сертификат пролаза, крива или конфигурација аутентификације сервера међусобно радити. Проверите идентитет сервера, његов ланац и методу IKE аутентификације као засебне улазе и тестирајте са профилом који ће заиста бити примењен.
Ако је сертификат пролаза проблем, симптом се обично појављује током валидације партнера, а не при избору идентитета. Прочитајте фазу неуспеха пре промене типа клијента, јер неуспех поверења и неслагање клијентског кључа не деле исто решење.
Потпис издаваоца и група за договор кључева нису тип клијента
X.509 држи јавни кључ субјекта и потпис издаваоца у различитим пољима. Информације о јавном кључу субјекта описују кључ у сертификату; алгоритам потписа описује кључ CA и операцију потписивања. Само прво одговара подешавању типа сертификата.
Предлози IKE и Child SA су друга оса. ECDSA тип сертификата није избор ESP шифровања, а промена групе за договор кључева не бира тип сертификата. Профил може имати ваљане предлоге и погрешан тип идентитета, или исправан тип идентитета и предлог који партнер одбија.
Држите три линије одвојено у запису промена: сертификат идентитета и кључ, улазе поверења пролаза и алгоритме предлога. Њихово спајање у једну белешку "крипто подешавања" чини следећи неуспех немогућим за приписивање.
Проверите одлуку пољима која сте подесили
Проверите идентитет на који профил заиста референцира, затим потврдите да сертификат на тој референци има очекивани јавни кључ и употребљив приватни кључ. Приказани тип у интерфејсу, референцирани сертификат и кључ на уређају морају се подударати.
Затим потврдите улазе пролаза: очекивано име сервера, сидро поверења и методу IKE аутентификације. На крају се повежите и прочитајте где се руковање зауставља. Неуспех пре размене идентитета указује даље од овог подешавања; неуспех при валидацији партнера указује на страну пролаза.
Забележите изабрани тип, референцу идентитета и субјекат сертификата пролаза у белешке о примени. Следеће ажурирање профила може променити било шта од тога, а три именоване вредности се брже упоређују од снимка екрана панела са подешавањима.