Mac IKEv2 ECDSA: எந்த சான்றிதழ் வகை வாடிக்கையாளருக்கு உரியது?
Mac இல், IKEv2 அமைப்புகளில் ECDSA256 உள்ளூர் அடையாளச் சான்றிதழை விவரிக்கிறது, நுழைவாயில் அல்லது வழங்குநரின் கையொப்பம் அல்ல. தேர்ந்தெடுப்பதற்கு முன் ஒவ்வொரு பங்கையும் படியுங்கள்.
macOS இல், IKEv2 வாடிக்கையாளர் அமைப்பில் ECDSA தேர்வு ஒரு குறுகிய கேள்விக்குப் பதிலளிக்கிறது: எந்தச் சான்றிதழ் Mac இன் அடையாளத்தை நிரூபிக்கிறது. இது நுழைவாயில் சான்றிதழ், வாடிக்கையாளர் சான்றிதழை வழங்கிய கையொப்பம், அல்லது சுரங்கப்பாதையின் மறையாக்க முன்மொழிவை விவரிக்கவில்லை. இந்த நான்கு பங்குகளையும் ஒரே இணக்கக் கேள்வியாகக் கருதுவதே சரியான உள்ளூர் அமைப்பு சேவையகப் பக்க முரண்பாட்டிற்குக் குற்றம் சாட்டப்படும் வழி. முடிவு சிறியது, ஆனால் அதை எடுக்கப் பயன்படும் சான்றுகள் துல்லியமாக இருக்க வேண்டும்.
இந்தப் புலம் ஒரு சான்றிதழைப் பெயரிடுகிறது: உள்ளூர் அடையாளம்
Apple இன் Network Extension API வாடிக்கையாளர் சான்றுகளுக்கு ஒரு சான்றிதழ் வகையை வெளிப்படுத்துகிறது, அதில் NEVPNIKEv2CertificateType.ECDSA256 அடங்கும், இது ECDSA p-256 சான்றிதழ் வகையாக ஆவணப்படுத்தப்பட்டுள்ளது. இந்தப் பண்பு identityReference அல்லது identityData மூலம் வழங்கப்படும் சான்றிதழுக்குப் பொருந்தும்.
அதாவது, Mac வழங்கும் சான்றிதழையும் அதனுடன் செல்லும் தனிப்பட்ட விசையையும் பற்றியது இந்த முடிவு. அந்த இலைச் சான்றிதழின் பொது விசைக்குப் பொருந்தும் வகையைத் தேர்ந்தெடுத்து, ஆதரிக்கப்படும் வழிமுறையின் மூலம் அடையாளத்தை வழங்குங்கள். Mac இல் அடையாளத்திற்குப் பயன்படுத்தக்கூடிய தனிப்பட்ட விசை இல்லாவிட்டால், வகைத் தேர்வு இணைப்பைக் காப்பாற்ற முடியாது.
நிர்வகிக்கப்படும் சுயவிவரங்கள் IKEv2 பேலோடின் CertificateType மூலம் அதே முடிவை எடுக்கின்றன, PayloadCertificateUUID போன்ற சான்றிதழ் குறிப்புடன். அந்தப் புலங்களுக்கு இலக்கு OS பதிப்பிற்கான முன்நிபந்தனைகளும் திட்டமும் உள்ளன; சுயவிவரத்தில் நகலெடுக்கப்பட்ட வெறும் வகை மதிப்பை நிறுவ முடியாது, அமைப்புகள் சாளரம் ஒவ்வொரு API விருப்பத்தையும் காட்டாமல் இருக்கலாம். பயன்படுத்துவதற்கு முன் அந்தப் பதிப்பிற்கான பேலோடின் முன்நிபந்தனைகளைச் சரிபார்க்கவும்.
சான்றிதழின் லேபிளால் அல்ல, பங்கின் அடிப்படையில் முடிவெடுங்கள்
நீங்கள் மாற்றப்போகும் புலத்தைப் படித்து, அது எந்தச் சான்றிதழைச் சுட்டுகிறது எனக் கேளுங்கள். சான்றிதழ் பார்வையில் உள்ள லேபிள்கள் பொருள், வழங்குநர் மற்றும் கையொப்ப வழிமுறையைக் கலக்கின்றன, அவற்றில் ஒன்று மட்டுமே வாடிக்கையாளர் அடையாளத் தேர்வுக்கு உரியது.
| What you inspected | What it controls | Does it choose the Mac certificate type? |
|---|---|---|
| Client leaf public key | The identity the Mac presents | Yes, this is the field's subject |
| Issuer signature algorithm | How the client certificate was signed | No |
| Gateway certificate | What the Mac validates as the peer | No, check it separately |
| IKE and ESP proposals | Algorithms for the tunnel | No, separate proposal settings |
சான்றிதழ் பார்வை CA இலிருந்து ECDSA கையொப்பத்தைக் காட்டினால், அது வழங்குநரின் கையொப்ப விசையை விவரிக்கிறது. வாடிக்கையாளரின் சொந்த விசை இன்னும் RSA ஆக இருக்கலாம், வகைப் புலம் கையொப்ப வரியை அல்ல, வாடிக்கையாளர் விசையைப் பின்பற்ற வேண்டும். இந்த ஒரே குழப்பம் "ECDSA கட்டமைக்கப்பட்டுள்ளது ஆனால் இணைப்பு தோல்வியடைகிறது" எனும் பல அறிக்கைகளை விளக்குகிறது. எதையும் மாற்றுவதற்கு முன் இலையின் விசை வகையைச் சுயவிவரத்தில் தேர்ந்தெடுத்த வகையுடன் ஒப்பிடுங்கள்.
இலை அடையாளம் காணப்பட்டதும் முடிவு எளிதாகிறது: p-256 வாடிக்கையாளர் விசைக்கு ECDSA256, வேறு விசைக்கு மற்றொரு ஆதரிக்கப்பட்ட வகை. வாடிக்கையாளர் சான்றிதழும் அதன் விசையும் பொருந்தவில்லை என்றால், VPN சுயவிவரத்தை மாற்றுவதற்கு முன் அந்த இணையைச் சரிசெய்யுங்கள்.
நுழைவாயில் சான்றிதழ் தனி முடிவு
நுழைவாயில் தனது சொந்தச் சான்றிதழை வழங்குகிறது, Mac அதை நம்பிக்கை நங்கூரம் மற்றும் எதிர்பார்க்கப்பட்ட பெயருக்கு எதிராகச் சரிபார்க்கிறது. அந்தச் சான்றிதழ் ECDSA, RSA அல்லது வேறு விசை வகையைப் பயன்படுத்துகிறதா என்பது சேவையகத்தின் பண்பு, வாடிக்கையாளர் அடையாள அமைப்பின் அல்ல.
ECDSA வாடிக்கையாளர் சான்றிதழுக்கான உள்ளூர் ஆதரவு ஒவ்வொரு நுழைவாயில் சான்றிதழும், வளைவும், சேவையக அங்கீகாரக் கட்டமைப்பும் ஒன்றுடன் ஒன்று இயங்கும் என்பதை நிரூபிக்காது. சேவையகத்தின் அடையாளம், அதன் சங்கிலி மற்றும் IKE அங்கீகார முறையைத் தனித் தனி உள்ளீடுகளாகச் சரிபார்த்து, உண்மையில் பயன்படுத்தப்படும் சுயவிவரத்துடன் சோதிக்கவும்.
நுழைவாயில் சான்றிதழே சிக்கல் என்றால், அறிகுறி பொதுவாக அடையாளத் தேர்வில் அல்ல, சகச் சரிபார்ப்பின் போது தோன்றுகிறது. வாடிக்கையாளர் வகையை மாற்றுவதற்கு முன் தோல்வி நிலையைப் படியுங்கள், ஏனெனில் நம்பிக்கைத் தோல்விக்கும் வாடிக்கையாளர் விசை முரண்பாட்டிற்கும் ஒரே தீர்வு இல்லை.
வழங்குநரின் கையொப்பமும் விசை ஒப்பந்தக் குழுவும் வாடிக்கையாளர் வகை அல்ல
X.509 பொருளின் பொது விசையையும் வழங்குநரின் கையொப்பத்தையும் வெவ்வேறு புலங்களில் வைத்திருக்கிறது. பொருள் பொது விசைத் தகவல் சான்றிதழில் உள்ள விசையை விவரிக்கிறது; கையொப்ப வழிமுறை CA இன் விசையையும் கையொப்பச் செயலையும் விவரிக்கிறது. சான்றிதழ்-வகை அமைப்புடன் முதலாவது மட்டுமே பொருந்துகிறது.
IKE மற்றும் Child SA முன்மொழிவுகள் மற்றொரு அச்சு. ECDSA சான்றிதழ் வகை ESP மறையாக்கத் தேர்வு அல்ல, விசை ஒப்பந்தக் குழுவை மாற்றுவது சான்றிதழ் வகையைத் தேர்ந்தெடுக்காது. ஒரு சுயவிவரத்தில் செல்லுபடியாகும் முன்மொழிவுகளும் தவறான அடையாள வகையும் இருக்கலாம், அல்லது சரியான அடையாள வகையும் சகர் நிராகரிக்கும் முன்மொழிவும் இருக்கலாம்.
மாற்றப் பதிவில் மூன்று வரிகளைத் தனித்தனியாக வைத்திருங்கள்: அடையாளச் சான்றிதழும் விசையும், நுழைவாயில் நம்பிக்கை உள்ளீடுகள், மற்றும் முன்மொழிவுகளின் வழிமுறைகள். அவற்றை ஒரே "கிரிப்டோ அமைப்புகள்" குறிப்பில் இணைத்தால் அடுத்த தோல்வியைக் காரணம் கூற முடியாது.
நீங்கள் கட்டமைத்த புலங்களுடன் முடிவைச் சரிபார்க்கவும்
சுயவிவரம் உண்மையில் குறிப்பிடும் அடையாளத்தைச் சரிபார்க்கவும், பின்னர் அந்தக் குறிப்பில் உள்ள சான்றிதழுக்கு எதிர்பார்க்கப்பட்ட பொது விசையும் பயன்படுத்தக்கூடிய தனிப்பட்ட விசையும் உள்ளதை உறுதிசெய்யவும். UI இல் காட்டப்படும் வகை, குறிப்பிடப்பட்ட சான்றிதழ், சாதனத்தில் உள்ள விசை—மூன்றும் பொருந்த வேண்டும்.
அடுத்து நுழைவாயில் உள்ளீடுகளை உறுதிசெய்யவும்: எதிர்பார்க்கப்பட்ட சேவையகப் பெயர், நம்பிக்கை நங்கூரம், IKE அங்கீகார முறை. இறுதியாக இணைத்து, கைக்குலுக்கல் எங்கு நிற்கிறது எனப் படியுங்கள். அடையாளப் பரிமாற்றத்திற்கு முன் தோல்வி இந்த அமைப்பிலிருந்து விலகிச் சுட்டுகிறது; சகச் சரிபார்ப்பில் தோல்வி நுழைவாயில் பக்கம் சுட்டுகிறது.
தேர்ந்தெடுத்த வகை, அடையாளக் குறிப்பு, நுழைவாயில் சான்றிதழின் பொருள் ஆகியவற்றைப் பயன்பாட்டுக் குறிப்புகளில் பதிவு செய்யுங்கள். அடுத்த சுயவிவரப் புதுப்பிப்பு அவற்றில் எதையும் மாற்றலாம், பெயரிடப்பட்ட மூன்று மதிப்புகளை அமைப்புகள் பலகத்தின் திரைப்பிடிப்பை விட வேகமாக ஒப்பிடலாம்.