Cheti cha VPN cha Mac: kwa nini kichaguzi cha utambulisho kinabaki tupu
Mteja anahitaji cheti pamoja na ufunguo wake wa faragha, katika hifadhi anayoisoma. Kwanza angalia utambulisho, kisha ikiwa lango linaukubali.
Ulisakinisha cheti, kinaonekana katika Keychain Access kwa jina rafiki, na kichaguzi cha utambulisho cha mteja wa VPN bado ni tupu. Mteja hataki cheti. Anataka utambulisho: cheti kilichooanishwa na ufunguo wa faragha unaoweza kuthibitisha umiliki, kilichohifadhiwa mahali mteja anaruhusiwa kukisoma.
Kile mteja anachoomba ni utambulisho
Mfumo wa usalama wa Apple unachukulia cheti na utambulisho kama vitu tofauti. Cheti ni data ya umma. Utambulisho ni cheti hicho pamoja na ufunguo wake wa faragha, na ni utambulisho pekee unaoweza kukamilisha changamoto. Cheti cha CA kinachoaminika, kwa upande mwingine, humruhusu mteja kutathmini mtoaji; hakifanyi mashine kuwa mmiliki wa kitambulisho cha mteja kilichotolewa.
| Item | What it can do | What it cannot do |
|---|---|---|
| CA or server certificate | Validate the gateway's chain | Authenticate this client |
| Client certificate without key | Nothing for authentication | Prove possession of anything |
| Identity (cert plus key) | Answer the authentication challenge | Guarantee the gateway accepts it |
Ndiyo sababu kuagiza faili ya .cer hakuzalishi kamwe utambulisho wa mteja unaoweza kutumika. Faili hubeba nyenzo za umma pekee, na hakuna kubadilisha jina wala kuamini kunayofanya kuwa jozi ya funguo.
Sababu tatu za kichaguzi kubaki tupu
Ya kwanza ni ufunguo wa faragha unaokosekana, kumaanisha kwamba mchakato wa usajili au uagizaji haukuwasilisha hata mmoja. Ya pili ni hifadhi ambayo mteja haiangalii: wasifu wenye wigo wa mtumiaji huangalia kwenye keychain ya mtumiaji, na kipengee kilichowekwa katika hifadhi ya mfumo kinaweza kisiweze kuonekana kwake. Ya tatu ni kutolingana kwa madhumuni au sera, ambapo cheti kipo lakini si halali kwa uthibitishaji wa mteja kulingana na kanuni za usambazaji.
security find-identity -v -p ssl-clientHii inaorodhesha utambulisho ambao mfumo unaona kuwa halali kwa uthibitishaji wa mteja. Ikiwa idadi ni sifuri, tatizo liko mbele ya mteja wa VPN na hakuna uhariri wa wasifu utakaoirekebisha. Ikiwa utambulisho unaonekana hapa lakini si kwa mteja, tofauti ni hifadhi au wigo wa mteja.
Ufunguo wa faragha unaishi wapi, na nani anaweza kuutumia
Unapoagiza utambulisho kupitia Keychain Access, kidirisha cha uagizaji hutoa keychain lengwa. Ni lengo gani sahihi linategemea mteja na ikiwa wasifu una wigo wa mtumiaji au kifaa. Jibu la zamani linalopendekeza keychain ya mfumo si kanuni ya jumla, na kunakili vipengee kati ya hifadhi si ukarabati.
System Roots ni mkusanyiko wa uaminifu. Kuweka cheti hapo hubadilisha ni watoaji gani mfumo unawaamini; hakuundwi ufunguo wa faragha na si hifadhi ya utambulisho. Kuhamisha vyeti visivyohusiana ili kujaza kichaguzi ni aina ya ukarabati unaoacha mashine na seti ya uaminifu iliyopanuliwa kwa kudumu.
Ufikiaji wa ufunguo wa faragha ni udhibiti tofauti. Kumpa kila programu ruhusa ya kutumia ufunguo hutatua tatizo la uchaguzi wa mteja mmoja na kuipa uwezo huo kwa kila kitu kingine kwenye mashine. Mpe mteja anayeuhitaji, na angalia ikiwa ufunguo unaungwa mkono na maunzi au umewekwa alama kuwa hauwezi kuhamishwa; ikiwa ndivyo, lazima itumike mtoa huduma anayetumika badala ya nakala iliyohamishwa.
Jinsi wasifu unavyoelekeza kwenye kitambulisho
Katika usanidi asilia wa IKEv2 unaosimamiwa, wasifu hurejelea mzigo wake wa kitambulisho kupitia PayloadCertificateUUID. Kinachojalisha ni utambulisho uliorejelewa na jinsi ulivyotolewa; kuhariri jina la kuonyesha kwenye wasifu hakurekebishi marejeleo yanayoelekeza kwenye mzigo usiofaa au ule ambao haukuwahi kuwasilisha ufunguo.
Mtoa huduma wa mtu wa tatu anaweza kutumia utaratibu tofauti kabisa wa kuchagua, kama hifadhi yake mwenyewe au ombi la mfumo. Soma nyaraka za mtoa huduma huyo badala ya kuhamisha dhana za wasifu asilia, na thibitisha marejeleo katika wasifu uliosakinishwa kweli, si katika rasimu ya konsoli ya usimamizi.
Uchaguzi na ukubalifu ni hatua tofauti
Kichaguzi kilichojaa kinamaanisha mteja anaweza kupata na kutumia utambulisho. Haisemi chochote kuhusu ikiwa lango litaukubali. Seva bado inakagua mtoaji, dirisha la uhalali, hali ya kufuta na ramani ya kitambulisho hicho kwenye akaunti.
Jaribu hatua zote mbili kwa uwazi, kwa mpangilio huo. Thibitisha kuwa utambulisho unatolewa, unganisha, kisha mwombe mmiliki wa lango athibitishe ni kitambulisho gani kiliwasilishwa na ni kanuni gani ya ramani iliyokitumia. Ikiwa mteja anatoa utambulisho na seva inaukataa, kazi iliyobaki iko upande wa seva. Kusakinisha tena cheti kwenye Mac hakutabadilisha matokeo hayo, bila kujali mara ngapi kinarudiwa.