Mac IKEv2 ECDSA: ni aina gani ya cheti inayomhusu mteja?
Kwenye Mac, ECDSA256 katika mipangilio ya IKEv2 inaeleza cheti cha utambulisho wa ndani, si lango au saini ya mtoaji. Soma kila jukumu kabla ya kuchagua.
Kwenye macOS, chaguo la ECDSA katika mpangilio wa mteja wa IKEv2 hujibu swali dogo: ni cheti gani kinachothibitisha utambulisho wa Mac. Haelezi cheti cha lango, saini iliyotoa cheti cha mteja, au pendekezo la usimbaji fiche la handaki. Kuchukulia majukumu hayo manne kama swali moja la uoanifu ndiyo njia ambayo mpangilio sahihi wa ndani hulaumiwa kwa kutokulingana upande wa seva. Uamuzi ni mdogo, lakini ushahidi unaotumika kuufanya lazima uwe sahihi.
Sehemu hii inataja cheti kimoja: utambulisho wa ndani
Network Extension API ya Apple inaonyesha aina ya cheti kwa kitambulisho cha mteja, ikiwa ni pamoja na NEVPNIKEv2CertificateType.ECDSA256, iliyoandikwa kama aina ya cheti ECDSA p-256. Sifa hii inahusu cheti kinachotolewa kupitia identityReference au identityData.
Hiyo inamaanisha uamuzi unahusu cheti ambacho Mac inawasilisha, pamoja na ufunguo wa faragha unaoandamana nao. Chagua aina inayolingana na ufunguo wa umma wa cheti hicho cha jani na toa utambulisho kupitia utaratibu unaotumika. Ikiwa Mac haina ufunguo wa faragha unaoweza kutumika kwa utambulisho, chaguo la aina haliwezi kuokoa muunganisho.
Profaili zinazosimamiwa hufanya uamuzi huo huo kupitia CertificateType ya mzigo wa IKEv2, pamoja na rejeleo la cheti kama PayloadCertificateUUID. Sehemu hizo zina masharti ya awali na mpango kwa toleo la mfumo wa uendeshaji unaolengwa; thamani ya aina iliyo wazi iliyonakiliwa kwenye profaili haiwezi kusakinishwa, na dirisha la mipangilio huenda lisionyeshe kila chaguo la API. Angalia masharti ya awali ya mzigo kwa toleo hilo kabla ya kupeleka.
Amua kwa jukumu, si kwa lebo ya cheti
Soma sehemu unayokaribia kubadilisha na uulize inaelekeza kwenye cheti gani. Lebo katika kionyeshi cha vyeti huchanganya kitu, mtoaji na algoriti ya saini, na ni moja tu kati yao inayohusiana na chaguo la utambulisho wa mteja.
| What you inspected | What it controls | Does it choose the Mac certificate type? |
|---|---|---|
| Client leaf public key | The identity the Mac presents | Yes, this is the field's subject |
| Issuer signature algorithm | How the client certificate was signed | No |
| Gateway certificate | What the Mac validates as the peer | No, check it separately |
| IKE and ESP proposals | Algorithms for the tunnel | No, separate proposal settings |
Ikiwa kionyeshi cha vyeti kinaonyesha saini ya ECDSA kutoka kwa CA, hilo linaeleza ufunguo wa kusaini wa mtoaji. Ufunguo wa mteja wenyewe unaweza bado kuwa RSA, na sehemu ya aina inapaswa kufuata ufunguo wa mteja badala ya mstari wa saini. Mkanganyiko huu mmoja unaeleza ripoti nyingi za "ECDSA imesanidiwa lakini muunganisho unashindikana". Linganisha aina ya ufunguo kwenye jani na aina iliyochaguliwa kwenye profaili kabla ya kubadilisha chochote.
Uamuzi unakuwa rahisi mara jani linapotambuliwa: ECDSA256 kwa ufunguo wa mteja p-256, aina nyingine inayotumika kwa ufunguo tofauti. Ikiwa cheti cha mteja na ufunguo wake hazilingani, rekebisha jozi hilo kabla ya kubadilisha profaili ya VPN.
Cheti cha lango ni uamuzi tofauti
Lango linawasilisha cheti chake mwenyewe na Mac inathibitisha dhidi ya nanga ya uaminifu na jina linalotarajiwa. Ikiwa cheti hicho kinatumia ECDSA, RSA au aina nyingine ya ufunguo ni sifa ya seva, si ya mpangilio wa utambulisho wa mteja.
Usaidizi wa ndani kwa cheti cha mteja cha ECDSA hauthibitishi kwamba kila cheti cha lango, mkunjo au usanidi wa uthibitishaji wa seva utashirikiana. Angalia utambulisho wa seva, mnyororo wake na mbinu ya uthibitishaji ya IKE kama pembejeo tofauti, na jaribu kwa profaili ambayo itapelekwa kwa kweli.
Ikiwa cheti cha lango ni tatizo, dalili kawaida huonekana wakati wa uthibitishaji wa mwenzake badala ya wakati wa kuchagua utambulisho. Soma hatua ya kushindikana kabla ya kubadilisha aina ya mteja, kwa sababu kushindikana kwa uaminifu na kutokulingana kwa ufunguo wa mteja hazishiriki suluhisho moja.
Saini ya mtoaji na kundi la makubaliano ya funguo si aina ya mteja
X.509 huhifadhi ufunguo wa umma wa kitu na saini ya mtoaji katika sehemu tofauti. Taarifa ya ufunguo wa umma wa kitu inaeleza ufunguo ulio kwenye cheti; algoriti ya saini inaeleza ufunguo wa CA na tendo la kusaini. Ni ya kwanza tu inayolingana na mpangilio wa aina ya cheti.
Mapendekezo ya IKE na Child SA ni mhimili mwingine. Aina ya cheti cha ECDSA si chaguo la usimbaji wa ESP, na kubadilisha kundi la makubaliano ya funguo hakuchagui aina ya cheti. Profaili inaweza kuwa na mapendekezo halali na aina isiyofaa ya utambulisho, au aina sahihi ya utambulisho na pendekezo ambalo mwenzake anakataa.
Weka mistari mitatu tofauti katika kumbukumbu ya mabadiliko: cheti na ufunguo wa utambulisho, pembejeo za uaminifu za lango, na algoriti za mapendekezo. Kuziunganisha katika dokezo moja la "mipangilio ya crypto" hufanya kushindikana kunakofuata kusiwezekane kuhusishwa.
Thibitisha uamuzi kwa sehemu ulizozisanidi
Angalia utambulisho ambao profaili inarejelea kwa kweli, kisha thibitisha kwamba cheti kwenye rejeleo hilo kina ufunguo wa umma unaotarajiwa na ufunguo wa faragha unaoweza kutumika. Aina inayoonyeshwa kwenye UI, cheti kinachorejelewa na ufunguo kwenye kifaa lazima viligane.
Kisha thibitisha pembejeo za lango: jina la seva linalotarajiwa, nanga ya uaminifu na mbinu ya uthibitishaji ya IKE. Hatimaye unganisha na usome mahali salamu ya mikono inaposimama. Kushindikana kabla ya kubadilishana utambulisho kunaonyesha mbali na mpangilio huu; kushindikana kwa uthibitishaji wa mwenzake kunaonyesha upande wa lango.
Rekodi aina iliyochaguliwa, rejeleo la utambulisho na kitu cha cheti cha lango katika maelezo ya upelekaji. Sasisho la profaili linalofuata linaweza kubadilisha yoyote yao, na thamani tatu zilizotajwa hulinganishwa haraka kuliko picha ya skrini ya paneli ya mipangilio.