Mac VPN சான்றிதழ்: அடையாளத் தேர்வு ஏன் காலியாக உள்ளது
வாடிக்கையாளருக்கு அதன் தனிப்பட்ட விசையுடன் சான்றிதழ் தேவை, அது படிக்கும் சேமிப்பகத்தில். முதலில் அடையாளத்தைச் சரிபார்க்கவும், பின்னர் நுழைவாயில் அதை ஏற்கிறதா எனப் பார்க்கவும்.
நீங்கள் சான்றிதழை நிறுவினீர்கள், அது Keychain Access-ல் நட்பான பெயருடன் தோன்றுகிறது, இருந்தும் VPN வாடிக்கையாளரின் அடையாளத் தேர்வு காலியாக உள்ளது. வாடிக்கையாளர் சான்றிதழைத் தேடவில்லை. அது அடையாளத்தைத் தேடுகிறது: உரிமையை நிரூபிக்கக்கூடிய தனிப்பட்ட விசையுடன் இணைந்த சான்றிதழ், வாடிக்கையாளர் படிக்க அனுமதிக்கப்பட்ட இடத்தில் சேமிக்கப்பட்டது.
வாடிக்கையாளர் கேட்பது அடையாளம்
Apple-இன் பாதுகாப்பு கட்டமைப்பு சான்றிதழையும் அடையாளத்தையும் வெவ்வேறு பொருட்களாகக் கருதுகிறது. சான்றிதழ் பொது தரவு. அடையாளம் என்பது அந்தச் சான்றிதழும் அதன் தனிப்பட்ட விசையும், சவாலை முடிக்கக்கூடியது அடையாளம் மட்டுமே. நம்பகமான CA சான்றிதழ், மறுபுறம், வாடிக்கையாளர் வழங்குநரை மதிப்பிட அனுமதிக்கிறது; அது இயந்திரத்தை வழங்கப்பட்ட வாடிக்கையாளர் சான்றுகளின் உரிமையாளராக மாற்றாது.
| Item | What it can do | What it cannot do |
|---|---|---|
| CA or server certificate | Validate the gateway's chain | Authenticate this client |
| Client certificate without key | Nothing for authentication | Prove possession of anything |
| Identity (cert plus key) | Answer the authentication challenge | Guarantee the gateway accepts it |
அதனால்தான் .cer கோப்பை இறக்குமதி செய்வது ஒருபோதும் பயன்படுத்தக்கூடிய வாடிக்கையாளர் அடையாளத்தை உருவாக்காது. கோப்பில் பொது மூலப்பொருள் மட்டுமே உள்ளது, பெயர் மாற்றமோ நம்பிக்கையோ அதை விசை இணையாக மாற்றாது.
தேர்வு காலியாக இருப்பதற்கான மூன்று காரணங்கள்
முதலாவது தனிப்பட்ட விசை இல்லாதது, அதாவது பதிவு அல்லது இறக்குமதி செயல்முறை ஒன்றையும் வழங்கவில்லை. இரண்டாவது வாடிக்கையாளர் பார்க்காத சேமிப்பகம்: பயனர் நோக்கு சுயவிவரம் பயனரின் சாவிக்கொத்தில் பார்க்கிறது, மேலும் கணினி சேமிப்பகத்தில் வைக்கப்பட்ட பொருள் அதற்குத் தெரியாமல் போகலாம். மூன்றாவது நோக்கம் அல்லது கொள்கை பொருந்தாமை, அங்கு சான்றிதழ் உள்ளது ஆனால் வரிசைப்படுத்தலின் விதிகளின்படி வாடிக்கையாளர் அங்கீகாரத்திற்கு செல்லுபடியாகாது.
security find-identity -v -p ssl-clientஇது கணினி வாடிக்கையாளர் அங்கீகாரத்திற்கு செல்லுபடியாகும் எனக் கருதும் அடையாளங்களைப் பட்டியலிடுகிறது. எண்ணிக்கை பூஜ்ஜியமாக இருந்தால், சிக்கல் VPN வாடிக்கையாளருக்கு மேலே உள்ளது, சுயவிவரத் திருத்தம் அதைச் சரிசெய்யாது. அடையாளம் இங்கே தெரிந்து வாடிக்கையாளரில் தெரியவில்லை என்றால், வேறுபாடு வாடிக்கையாளரின் சேமிப்பகம் அல்லது எல்லையில் உள்ளது.
தனிப்பட்ட விசை எங்கே வாழ்கிறது, யார் அதைப் பயன்படுத்தலாம்
Keychain Access வழியாக அடையாளத்தை இறக்குமதி செய்யும்போது, இறக்குமதி உரையாடல் இலக்கு சாவிக்கொத்தை வழங்குகிறது. எந்த இலக்கு சரியானது என்பது வாடிக்கையாளரையும், சுயவிவரம் பயனர் நோக்கா சாதன நோக்கா என்பதையும் பொறுத்தது. கணினி சாவிக்கொத்தைப் பரிந்துரைக்கும் பழைய பதில் உலகளாவிய விதி அல்ல, சேமிப்பகங்களுக்கு இடையே பொருட்களை நகலெடுப்பது பழுது அல்ல.
System Roots ஒரு நம்பிக்கைத் தொகுப்பு. அங்கு சான்றிதழை வைப்பது கணினி எந்த வழங்குநர்களை நம்புகிறது என்பதை மாற்றுகிறது; அது தனிப்பட்ட விசையை உருவாக்காது, அடையாளச் சேமிப்பகமும் அல்ல. தேர்வை நிரப்ப தொடர்பில்லாத சான்றிதழ்களை நகர்த்துவது இயந்திரத்தை நிரந்தரமாக விரிவாக்கப்பட்ட நம்பிக்கைத் தொகுப்புடன் விட்டுச் செல்லும் பழுது.
தனிப்பட்ட விசைக்கான அணுகல் தனி கட்டுப்பாடு. ஒவ்வொரு பயன்பாட்டிற்கும் விசையைப் பயன்படுத்த அனுமதி வழங்குவது ஒரு வாடிக்கையாளரின் தேர்வுச் சிக்கலைத் தீர்த்து அதே திறனை இயந்திரத்தில் உள்ள மற்ற அனைத்திற்கும் வழங்குகிறது. தேவைப்படும் வாடிக்கையாளருக்கு வழங்குங்கள், விசை வன்பொருள் ஆதரவுடையதா அல்லது ஏற்றுமதி செய்ய முடியாதது எனக் குறிக்கப்பட்டுள்ளதா எனச் சரிபார்க்கவும்; அவ்வாறு இருந்தால், ஏற்றுமதி செய்யப்பட்ட நகலுக்குப் பதிலாக ஆதரிக்கப்பட்ட வழங்குநரைப் பயன்படுத்த வேண்டும்.
சுயவிவரம் சான்றுகளை எவ்வாறு சுட்டுகிறது
நிர்வகிக்கப்பட்ட அசல் IKEv2 உள்ளமைவில், சுயவிவரம் PayloadCertificateUUID வழியாக அதன் சான்று பேலோடைக் குறிப்பிடுகிறது. குறிப்பிடப்பட்ட அடையாளமும் அது எவ்வாறு வழங்கப்பட்டது என்பதுமே முக்கியம்; சுயவிவரத்தில் காட்டப்படும் பெயரைத் திருத்துவது தவறான பேலோடை அல்லது ஒருபோதும் விசையை வழங்காத பேலோடைச் சுட்டும் குறிப்பைச் சரிசெய்யாது.
மூன்றாம் தரப்பு வழங்குநர் முற்றிலும் வேறு தேர்வு முறையைப் பயன்படுத்தலாம், எடுத்துக்காட்டாக அதன் சொந்த சேமிப்பகம் அல்லது கணினி கோரிக்கை. அசல் சுயவிவரத்தின் அனுமானங்களை மாற்றுவதற்குப் பதிலாக அந்த வழங்குநரின் ஆவணங்களைப் படிக்கவும், குறிப்பை உண்மையில் நிறுவப்பட்ட சுயவிவரத்தில் சரிபார்க்கவும், நிர்வாக கன்சோலின் வரைவில் அல்ல.
தேர்வும் ஏற்றுக்கொள்ளலும் தனித்தனி மைல்கற்கள்
நிரப்பப்பட்ட தேர்வு என்பது வாடிக்கையாளர் அடையாளத்தைக் கண்டுபிடித்துப் பயன்படுத்த முடியும் என்பதே. நுழைவாயில் அதை ஏற்குமா என்பதைப் பற்றி அது எதுவும் கூறாது. சேவையகம் இன்னும் வழங்குநர், செல்லுபடியாகும் காலம், ரத்துச் செய்யப்பட்ட நிலை மற்றும் அந்தச் சான்றுகளைக் கணக்குடன் இணைக்கும் மேப்பிங்.
இரு நிலைகளையும் வெளிப்படையாக, அந்த வரிசையில் சோதிக்கவும். அடையாளம் வழங்கப்படுவதை உறுதிசெய்து, இணைத்து, பின்னர் எந்தச் சான்று வழங்கப்பட்டது, எந்த மேப்பிங் விதி அதைப் பயன்படுத்தியது என்பதை உறுதிசெய்ய நுழைவாயிலின் உரிமையாளரைக் கேளுங்கள். வாடிக்கையாளர் அடையாளத்தை வழங்கி சேவையகம் நிராகரித்தால், மீதமுள்ள வேலை சேவையகப் பக்கத்தில் உள்ளது. Mac-ல் சான்றிதழை மீண்டும் நிறுவுவது எத்தனை முறை திரும்பியும் அந்த முடிவை மாற்றாது.