Mac IKEv2 ECDSA: క్లయింట్కు ఏ రకమైన ధృవపత్రం చెందుతుంది?
Mac లో, IKEv2 సెట్టింగ్లలోని ECDSA256 స్థానిక గుర్తింపు ధృవపత్రాన్ని వివరిస్తుంది, గేట్వే లేదా జారీచేసినవారి సంతకం కాదు. ఎంచుకునే ముందు ప్రతి పాత్రను చదవండి.
macOS లో, IKEv2 క్లయింట్ సెట్టింగ్లోని ECDSA ఎంపిక ఒక సన్నని ప్రశ్నకు సమాధానమిస్తుంది: ఏ ధృవపత్రం Mac గుర్తింపును నిరూపిస్తుంది. ఇది గేట్వే ధృవపత్రం, క్లయింట్ ధృవపత్రాన్ని జారీ చేసిన సంతకం, లేదా టన్నెల్ కోసం ఎన్క్రిప్షన్ ప్రతిపాదనను వివరించదు. ఈ నాలుగు పాత్రలను ఒకే అనుకూలత ప్రశ్నగా పరిగణించడం వల్లనే సరైన స్థానిక సెట్టింగ్పై సర్వర్ వైపు అసమానత ఆరోపణ వస్తుంది. నిర్ణయం చిన్నది, కానీ దానిని తీసుకోవడానికి ఉపయోగించే సాక్ష్యం ఖచ్చితంగా ఉండాలి.
ఈ ఫీల్డ్ ఒక ధృవపత్రాన్ని పేర్కొంటుంది: స్థానిక గుర్తింపు
Apple యొక్క Network Extension API క్లయింట్ ఆధారాల కోసం ధృవపత్ర రకాన్ని అందిస్తుంది, అందులో NEVPNIKEv2CertificateType.ECDSA256 ఉంది, ఇది ECDSA p-256 ధృవపత్ర రకంగా నమోదు చేయబడింది. ఈ లక్షణం identityReference లేదా identityData ద్వారా అందించే ధృవపత్రానికి వర్తిస్తుంది.
అంటే నిర్ణయం Mac అందించే ధృవపత్రం మరియు దానితో వచ్చే ప్రైవేట్ కీ గురించి. ఆ ఆకు ధృవపత్రం యొక్క పబ్లిక్ కీకి సరిపోయే రకాన్ని ఎంచుకుని, మద్దతు ఉన్న విధానం ద్వారా గుర్తింపును అందించండి. Mac వద్ద గుర్తింపు కోసం ఉపయోగించదగిన ప్రైవేట్ కీ లేకపోతే, రకం ఎంపిక కనెక్షన్ను కాపాడలేదు.
నిర్వహిత ప్రొఫైల్లు IKEv2 పేలోడ్ యొక్క CertificateType ద్వారా అదే నిర్ణయం తీసుకుంటాయి, PayloadCertificateUUID వంటి ధృవపత్ర సూచనతో పాటు. ఆ ఫీల్డ్లకు లక్ష్య OS సంస్కరణ కోసం ముందస్తు షరతులు మరియు స్కీమా ఉన్నాయి; ప్రొఫైల్లో నకలు చేసిన బేర్ రకం విలువ ఇన్స్టాల్ చేయలేము, మరియు సెట్టింగ్ల విండో ప్రతి API ఎంపికను చూపించకపోవచ్చు. అమలు చేయడానికి ముందు ఆ సంస్కరణ కోసం పేలోడ్ ముందస్తు షరతులను తనిఖీ చేయండి.
ధృవపత్రం లేబుల్ ప్రకారం కాదు, పాత్ర ప్రకారం నిర్ణయించండి
మీరు మార్చబోయే ఫీల్డ్ను చదివి, అది ఏ ధృవపత్రాన్ని సూచిస్తుందో అడగండి. ధృవపత్ర వీక్షకంలోని లేబుళ్లు విషయం, జారీచేసినవారు మరియు సంతక అల్గోరిథంను కలుపుతాయి, వాటిలో ఒకటి మాత్రమే క్లయింట్ గుర్తింపు ఎంపికకు సంబంధించినది.
| What you inspected | What it controls | Does it choose the Mac certificate type? |
|---|---|---|
| Client leaf public key | The identity the Mac presents | Yes, this is the field's subject |
| Issuer signature algorithm | How the client certificate was signed | No |
| Gateway certificate | What the Mac validates as the peer | No, check it separately |
| IKE and ESP proposals | Algorithms for the tunnel | No, separate proposal settings |
ధృవపత్ర వీక్షకం CA నుండి ECDSA సంతకాన్ని చూపిస్తే, అది జారీచేసినవారి సంతక కీని వివరిస్తుంది. క్లయింట్ స్వంత కీ ఇప్పటికీ RSA కావచ్చు, మరియు రకం ఫీల్డ్ సంతక పంక్తిని కాదు, క్లయింట్ కీని అనుసరించాలి. ఈ ఒక్క గందరగోళం "ECDSA కాన్ఫిగర్ చేయబడింది కానీ కనెక్షన్ విఫలమవుతుంది" అనే అనేక నివేదికలను వివరిస్తుంది. ఏదైనా మార్చే ముందు ఆకులోని కీ రకాన్ని ప్రొఫైల్లో ఎంచుకున్న రకంతో పోల్చండి.
ఆకు గుర్తించబడిన తర్వాత నిర్ణయం సులభమవుతుంది: p-256 క్లయింట్ కీకి ECDSA256, వేరే కీకి మరో మద్దతు ఉన్న రకం. క్లయింట్ ధృవపత్రం మరియు దాని కీ సరిపోకపోతే, VPN ప్రొఫైల్ మార్చే ముందు ఆ జంటను సరిచేయండి.
గేట్వే ధృవపత్రం వేరే నిర్ణయం
గేట్వే తన సొంత ధృవపత్రాన్ని అందిస్తుంది, Mac దానిని విశ్వాస యాంకర్ మరియు ఆశించిన పేరుకు వ్యతిరేకంగా ధృవీకరిస్తుంది. ఆ ధృవపత్రం ECDSA, RSA లేదా మరో కీ రకాన్ని ఉపయోగిస్తుందా అనేది సర్వర్ లక్షణం, క్లయింట్ గుర్తింపు సెట్టింగ్ కాదు.
ECDSA క్లయింట్ ధృవపత్రానికి స్థానిక మద్దతు ప్రతి గేట్వే ధృవపత్రం, వక్రరేఖ లేదా సర్వర్ ప్రామాణీకరణ కాన్ఫిగరేషన్ పరస్పరం పనిచేస్తుందని నిరూపించదు. సర్వర్ గుర్తింపు, దాని గొలుసు మరియు IKE ప్రామాణీకరణ పద్ధతిని వేర్వేరు ఇన్పుట్లుగా తనిఖీ చేయండి, మరియు నిజంగా అమలు చేయబడే ప్రొఫైల్తో పరీక్షించండి.
గేట్వే ధృవపత్రమే సమస్య అయితే, లక్షణం సాధారణంగా గుర్తింపు ఎంపికలో కాదు, పీర్ ధృవీకరణ సమయంలో కనిపిస్తుంది. క్లయింట్ రకం మార్చే ముందు వైఫల్య దశను చదవండి, ఎందుకంటే విశ్వాస వైఫల్యం మరియు క్లయింట్ కీ అసమానతకు ఒకే పరిష్కారం ఉండదు.
జారీచేసినవారి సంతకం మరియు కీ ఒప్పంద సమూహం క్లయింట్ రకం కావు
X.509 విషయం యొక్క పబ్లిక్ కీని మరియు జారీచేసినవారి సంతకాన్ని వేర్వేరు ఫీల్డ్లలో ఉంచుతుంది. విషయ పబ్లిక్ కీ సమాచారం ధృవపత్రంలోని కీని వివరిస్తుంది; సంతక అల్గోరిథం CA కీ మరియు సంతక ప్రక్రియను వివరిస్తుంది. ధృవపత్ర రకం సెట్టింగ్కు మొదటిది మాత్రమే సరిపోతుంది.
IKE మరియు Child SA ప్రతిపాదనలు మరో అక్షం. ECDSA ధృవపత్ర రకం ESP ఎన్క్రిప్షన్ ఎంపిక కాదు, కీ ఒప్పంద సమూహాన్ని మార్చడం ధృవపత్ర రకాన్ని ఎంచుకోదు. ప్రొఫైల్లో చెల్లుబాటు అయ్యే ప్రతిపాదనలు మరియు తప్పు గుర్తింపు రకం ఉండవచ్చు, లేదా సరైన గుర్తింపు రకం మరియు పీర్ తిరస్కరించే ప్రతిపాదన ఉండవచ్చు.
మార్పు రికార్డులో మూడు పంక్తులను విడివిడిగా ఉంచండి: గుర్తింపు ధృవపత్రం మరియు కీ, గేట్వే విశ్వాస ఇన్పుట్లు, మరియు ప్రతిపాదనల అల్గోరిథంలు. వాటిని ఒకే "క్రిప్టో సెట్టింగ్లు" గమనికలో కలిపితే తదుపరి వైఫల్యానికి కారణం చెప్పడం అసాధ్యం.
మీరు కాన్ఫిగర్ చేసిన ఫీల్డ్లతో నిర్ణయాన్ని ధృవీకరించండి
ప్రొఫైల్ నిజంగా సూచించే గుర్తింపును తనిఖీ చేయండి, తర్వాత ఆ సూచనలోని ధృవపత్రానికి ఆశించిన పబ్లిక్ కీ మరియు ఉపయోగించదగిన ప్రైవేట్ కీ ఉన్నాయని నిర్ధారించండి. UI లో చూపబడే రకం, సూచించబడిన ధృవపత్రం మరియు పరికరంలోని కీ మూడూ సరిపోలాలి.
తర్వాత గేట్వే ఇన్పుట్లను నిర్ధారించండి: ఆశించిన సర్వర్ పేరు, విశ్వాస యాంకర్ మరియు IKE ప్రామాణీకరణ పద్ధతి. చివరగా కనెక్ట్ చేసి, హ్యాండ్షేక్ ఎక్కడ ఆగుతుందో చదవండి. గుర్తింపు మార్పిడికి ముందు వైఫల్యం ఈ సెట్టింగ్ నుండి దూరంగా సూచిస్తుంది; పీర్ ధృవీకరణలో వైఫల్యం గేట్వే వైపు సూచిస్తుంది.
ఎంచుకున్న రకం, గుర్తింపు సూచన మరియు గేట్వే ధృవపత్రం యొక్క విషయాన్ని అమలు గమనికలలో నమోదు చేయండి. తదుపరి ప్రొఫైల్ నవీకరణ వాటిలో ఏదైనా మార్చవచ్చు, మరియు మూడు పేరున్న విలువలను సెట్టింగ్ల ప్యానెల్ స్క్రీన్షాట్ కంటే వేగంగా పోల్చవచ్చు.