Mac இல் VPN சான்றிதழ் உள்நுழைவு: அடையாளம், சாவி பயன்பாடு அல்லது நுழைவாயில் நம்பிக்கையா?
சான்றிதழ் உள்நுழைவுக்குப் பின்னால் மூன்று முடிவுகள் உள்ளன: எந்த அடையாளம் தேர்ந்தெடுக்கப்படுகிறது, VPN பகுதி அதன் சாவியைப் பயன்படுத்தலாமா, நுழைவாயில் நம்பத்தகுந்ததா.
சான்றிதழ் அடிப்படையிலான VPN உள்நுழைவுகள் Mac இடம் கடவுச்சொல்லை விடக் குறுகிய ஒன்றைக் கேட்கின்றன: இந்தக் குறிப்பிட்ட தனிப்பட்ட சாவியை, இந்தச் செயலாக்கச் சூழலில், அந்த நுழைவாயிலுக்கு அடையாளத்தை நிரூபிக்கப் பயன்படுத்து. அது தோல்வியுறும்போது, செய்தி பொதுவாகக் கடைசியாகத் தவறியதை மட்டுமே விவரிக்கிறது, அதுவே காரணமாக இருப்பது அரிது. கணினி எடுக்கும் வரிசையிலேயே மூன்று முடிவுகளையும் கடந்து செல்வது கண்டறிதலை நேர்மையாக வைத்திருக்கிறது, மேலும் உள்ளூர் அனுமதிச் சிக்கலைச் சங்கிலி சரிபார்ப்புத் தோல்வியாகக் கருதுவதைத் தடுக்கிறது.
Mac செய்யும் வரிசையிலேயே உள்நுழைவைக் கடந்து செல்
முதலில் வாடிக்கையாளர் ஒரு அடையாளத்தைத் தேர்ந்தெடுக்கிறார்: பயன்படுத்தக்கூடிய தனிப்பட்ட சாவியுடன் இணைக்கப்பட்ட சான்றிதழ், இது ஆதரவளிக்கும் சேமிப்பகம் அல்லது சான்று வழங்குநர் மூலம் கிடைக்கிறது. பின்னர் VPN பகுதி அந்தச் சாவியுடன் ஒரு மறையீட்டுச் செயலைச் செய்யக் கோருகிறது, உள்ளூர் அனுமதி மாதிரி பதிலளிக்கிறது. இரண்டும் வெற்றியடைந்த பிறகே தொலைக் கைக்குலுக்கல் நிகழ்கிறது, அங்கு Mac நுழைவாயிலை மதிப்பிடுகிறது, நுழைவாயில் வாடிக்கையாளரின் சான்றை மதிப்பிடுகிறது.
| Decision | Typical symptom | Where to look |
|---|---|---|
| Identity selection | No valid identity, wrong certificate offered | Profile and which identity the client picked |
| Local key use | Signing or interaction error before any handshake | Execution context and key access rules |
| Remote authentication | Chain, name or client-admission rejection | Gateway identity and what it accepts |
அட்டவணையை மேலிருந்து கீழாகப் படித்து, தோல்வியடையும் முதல் வரிசையில் நிற்க. தோல்விக்குக் கீழே உள்ள அனைத்தும் நிரூபிக்கப்படவில்லை, அதனால்தான் “சான்றிதழ் நம்பத்தகுந்ததல்ல” என்பது இவ்வளவு பொதுவானதும் இவ்வளவு நம்பமுடியாததுமான முடிவாக இருக்கிறது.
உள்ளூர் அனுமதி உண்மையில் எதை உள்ளடக்குகிறது
macOS சாவிக்கொத்து மாதிரியில், பாதுகாக்கப்பட்ட உருப்படிகள் செயலுக்கு உரிய அணுகல் விதிகளையும் நம்பகமான பயன்பாடுகளின் பட்டியலையும் கொண்டுள்ளன. தனிப்பட்ட சாவியால் கையொப்பமிடுவது அத்தகைய செயல்களில் ஒன்று, விதிகள் அதைச் செய்யும் இயக்கக்கூடிய கோப்புக்குப் பொருந்தும், ஆவணமாகச் சான்றிதழுக்கு அல்ல. Apple இன் அணுகல் கட்டுப்பாட்டு குறிப்பு இந்த மாதிரிக்கும் iCloud சாவிக்கொத்து மற்றும் அணுகல் குழு ஏற்பாடுகளுக்கும் இடையில் கோடு வரைகிறது, எனவே ஒன்றுக்கு எழுதப்பட்ட ஆலோசனை மற்றொன்றுக்கு மாற்றப்படாது.
இதிலிருந்து இரண்டு விளைவுகள் வருகின்றன. பட்டியலில் தெரியும் பொது சான்றிதழ், VPN இன் பின்னணிப் பகுதி அந்தச் சாவியை அடையவே முடியும் என்பதை நிரூபிக்காது. மேலும் முன்னணிப் பயன்பாட்டுக்கு வழங்கப்பட்ட அனுமதி தனித் துணை அல்லது பிணைய நீட்டிப்பு பற்றி எதுவும் சொல்லாது, ஏனெனில் அவை வேறு அடையாளங்களைக் கொண்ட வேறு குறியீடு.
பழைய வாடிக்கையாளரிடமிருந்து இயக்கக்கூடிய கோப்புப் பாதையை நகலெடுப்பதற்குப் பதிலாக உண்மையான செயலாக்கத்தையும் அதன் ஆதரவளிக்கும் சான்று பங்கீட்டு முறையையும் அடையாளம் காண். முதலில் கணினி எந்த அடையாளத்தை வழங்கும் என்பதை உறுதிப்படுத்து:
security find-identity -v -p ssl-clienterrSecInteractionNotAllowed படித்தல்
அந்த நிலை Security Server உடனான அனுமதிக்கப்படாத ஊடாட்டத்தைத் தெரிவிக்கிறது, சான்றிதழ்ச் சங்கிலிகள் பற்றி எதுவும் சொல்லாது. அதை உருவாக்கிய செயலுடன் சேர்த்துப் படி: கோரிக்கையைக் காட்ட முடியாத சூழலிலிருந்து அனுப்பப்பட்ட கையொப்பக் கோரிக்கை சாவியும் சான்றிதழும் முழுமையாகச் செல்லத்தக்கதாக இருந்தாலும் இவ்வாறே தோல்வியடையும். தொடங்க வேண்டிய இடம் அதைப் பதிவுசெய்த செயல், சான்றிதழ்ச் சேமிப்பகம் அல்ல. நம்பிக்கை நங்கூரங்களில் நீ செய்யும் எந்த மாற்றமும் பிழையை அது இருந்த அதே இடத்தில் விட்டுவிடும்.
எனவே குறியீட்டைச் செயலாக்கச் சூழலையும் அனுமதியையும் ஆராய்வதற்கான காரணமாகக் கருது. நுழைவாயிலின் CA நம்பத்தகுந்ததல்ல என்பதற்கான சான்றாகக் கருதுவது உன்னைச் சிக்கலின் தவறான பாதிக்கு அனுப்புகிறது, அங்கு நீ செய்யும் மாற்றம் பிழையைச் சிறிதும் பாதிக்காது.
குறுகலாகச் சரிசெய், பரந்ததாக அல்ல
இணைப்பின் உரிமையாளரின் பதிவு அல்லது இறக்குமதி வழிமுறைகளில் தொடங்கு. வாடிக்கையாளர் பதிப்பு, சுயவிவரத்தின் வீச்சு, தேர்ந்தெடுக்கப்பட்ட அடையாளம், முதல் தொடர்புடைய உள்ளூர் பிழை ஆகியவற்றைப் பதிவுசெய், ஏனெனில் இந்த நான்கு உண்மைகளே ஆதரவுக்கான ஒப்படைப்புக்குத் தேவை, பின்னர் நிகழும் ஒப்பீடும் அவற்றைச் சார்ந்துள்ளது. நிர்வகிக்கப்பட்ட சுயவிவரம் அல்லது வன்பொருள் ஆதரவுள்ள அடையாளத்திற்கு நிர்வாகி அல்லது வழங்குநர் ஒப்படைப்பைச் சரிசெய்ய வேண்டியிருக்கலாம், எந்த அளவு உள்ளூர் சொடுக்கும் அதற்கு மாற்றாகாது.
தயாரிப்பு பயனர் ஒப்புதலை எதிர்பார்க்கும் இடத்தில், எந்தப் பகுதி கேட்கிறது என்பதை உறுதிசெய்து ஆதரவளிக்கும் ஓட்டம் வழியாக அந்த அணுகலை மட்டும் ஒப்புதல் அளி. பகுதி தான் இயங்கும் சூழலில் கோரிக்கையை எழுப்ப வழியில்லாத இடத்தில், வழங்கல் விற்பனையாளர் ஆவணப்படுத்திய பாதையைப் பின்பற்ற வேண்டும், வேறு முனையச் சாளரத்திலிருந்து இழுத்த ஒரு உரையாடலை அல்ல.
பழைய ஆலோசனைகளில் இரண்டு மாற்றங்கள் ஒன்றாகக் கட்டப்படுகின்றன, இரண்டும் மிகவும் பரந்தவை. ஒவ்வொரு பயன்பாட்டுக்கும் தனிப்பட்ட சாவிக்கு அணுகல் வழங்குவது உள்ளூர் சாவிப் பயன்பாட்டைத் தேவைக்கு மிக அப்பால் விரிவாக்குகிறது, சான்றிதழை Always Trust இல் அமைப்பது இயந்திரத்தில் உள்ள அனைத்துக்கும் சான்றிதழ் மதிப்பீட்டை மாற்றுகிறது. அவற்றில் எதுவும் “இந்த ஒப்புதல் பெற்ற VPN செயலாக்கம், இந்த நோக்கிய அடையாளத்தைப் பயன்படுத்தி” என்பதை வெளிப்படுத்தவில்லை.
நுழைவாயிலைப் படிக்கும் முன் உள்ளூரில் சரிபார்
சரிசெய்தலுக்குப் பின், உள்ளூர் செயல் வெற்றியடைவதை உறுதிசெய் மறுபக்கம் எந்தப் பதிலையும் விளக்குவதற்கு முன். கையொப்பம் இப்போது வேலை செய்தால், பின்னர் பெயர், சங்கிலி அல்லது வாடிக்கையாளர் அனுமதி மறுக்கப்படுவது மீள்வருகை அல்ல, புதிய விளைவு, அது வேறு பொறுப்பாளரைக் கொண்ட வேறு முடிவுக்கு உரியது.
பயனுள்ள ஒப்படைப்பு மூன்று முடிவுகளில் எது தோல்வியுற்றது என்பதைக் குறிப்பிட்டு அங்கேயே நிற்கிறது. அது தனிப்பட்ட சாவியை ஒருபோதும் சேர்க்காது, தூய்மையான நிலை உதவும் என்ற நம்பிக்கையில் தொடர்பில்லாத சாவிக்கொத்து உருப்படிகளை ஒருபோதும் மீட்டமைக்காது. அந்த இரண்டு பழக்கங்களையும் சம்பவத்தின் போது அல்ல, அதற்கு முன்பே நிர்ணயம் செய், ஏனெனில் எல்லாவற்றையும் ஒரே நேரத்தில் முயலும் சோதனை அப்போதுதான் மிக வலுவானது. “சாவிக்கொத்து மீண்டும் கட்டப்பட்டது” எனும் டிக்கெட் அடுத்த வாசகருக்கு மூலக் குறைபாடு பற்றி ஏறக்குறைய எதுவும் சொல்லாது.