Mac VPN ధృవపత్రం: గుర్తింపు ఎంపిక ఎందుకు ఖాళీగా ఉంటుంది
క్లయింట్కు దాని ప్రైవేట్ కీతో కలిపి ధృవపత్రం కావాలి, అది చదివే నిల్వలో. మొదట గుర్తింపును తనిఖీ చేయండి, తర్వాత గేట్వే దాన్ని అంగీకరిస్తుందో లేదో చూడండి.
మీరు ధృవపత్రాన్ని ఇన్స్టాల్ చేశారు, అది Keychain Access లో స్నేహపూర్వక పేరుతో కనిపిస్తుంది, అయినా VPN క్లయింట్ గుర్తింపు ఎంపిక ఇంకా ఖాళీగా ఉంది. క్లయింట్ ధృవపత్రాన్ని వెతకడం లేదు. అది గుర్తింపును వెతుకుతోంది: యాజమాన్యాన్ని నిరూపించగల ప్రైవేట్ కీతో జతగా ఉన్న ధృవపత్రం, క్లయింట్ చదవడానికి అనుమతి ఉన్న చోట నిల్వ చేయబడింది.
క్లయింట్ అడిగేది గుర్తింపు
Apple భద్రతా ఫ్రేమ్వర్క్ ధృవపత్రాన్ని మరియు గుర్తింపును వేర్వేరు వస్తువులుగా పరిగణిస్తుంది. ధృవపత్రం పబ్లిక్ డేటా. గుర్తింపు అంటే ఆ ధృవపత్రం మరియు దాని ప్రైవేట్ కీ, సవాలును పూర్తి చేయగలదు గుర్తింపు మాత్రమే. నమ్మదగిన CA ధృవపత్రం, మరోవైపు, క్లయింట్ జారీచేయువారిని అంచనా వేయడానికి అనుమతిస్తుంది; అది యంత్రాన్ని జారీ చేయబడిన క్లయింట్ ఆధారాల హోల్డర్గా మార్చదు.
| Item | What it can do | What it cannot do |
|---|---|---|
| CA or server certificate | Validate the gateway's chain | Authenticate this client |
| Client certificate without key | Nothing for authentication | Prove possession of anything |
| Identity (cert plus key) | Answer the authentication challenge | Guarantee the gateway accepts it |
అందుకే .cer ఫైల్ను దిగుమతి చేయడం ఎప్పుడూ ఉపయోగించగల క్లయింట్ గుర్తింపును సృష్టించదు. ఫైల్లో పబ్లిక్ పదార్థం మాత్రమే ఉంటుంది, పేరు మార్చినా నమ్మకం ఇచ్చినా అది కీ జోడీగా మారదు.
ఎంపిక ఖాళీగా ఉండటానికి మూడు కారణాలు
మొదటిది ప్రైవేట్ కీ లేకపోవడం, అంటే నమోదు లేదా దిగుమతి ప్రక్రియ ఒకటి కూడా ఇవ్వలేదు. రెండవది క్లయింట్ పరిశీలించని నిల్వ: వినియోగదారు పరిధి ప్రొఫైల్ వినియోగదారు కీచైన్లో చూస్తుంది, మరియు సిస్టమ్ నిల్వలో ఉంచిన అంశం దానికి కనిపించకపోవచ్చు. మూడవది ఉద్దేశ్యం లేదా విధానం అసమానత, అక్కడ ధృవపత్రం ఉంది కానీ అమరిక నియమాల ప్రకారం క్లయింట్ ప్రామాణీకరణకు చెల్లదు.
security find-identity -v -p ssl-clientఇది సిస్టమ్ క్లయింట్ ప్రామాణీకరణకు చెల్లుబాటు అని భావించే గుర్తింపులను జాబితా చేస్తుంది. సంఖ్య సున్నా అయితే, సమస్య VPN క్లయింట్కు పైన ఉంది మరియు ప్రొఫైల్ సవరణ దాన్ని సరిచేయదు. గుర్తింపు ఇక్కడ కనిపించి క్లయింట్లో కనిపించకపోతే, తేడా క్లయింట్ నిల్వ లేదా పరిధిలో ఉంది.
ప్రైవేట్ కీ ఎక్కడ నివసిస్తుంది, ఎవరు దాన్ని ఉపయోగించవచ్చు
మీరు Keychain Access ద్వారా గుర్తింపును దిగుమతి చేసినప్పుడు, దిగుమతి సంభాషణ లక్ష్య కీచైన్ను అందిస్తుంది. ఏ లక్ష్యం సరైనది అనేది క్లయింట్ మరియు ప్రొఫైల్ వినియోగదారు లేదా పరికర పరిధిలో ఉందా అనే దానిపై ఆధారపడి ఉంటుంది. సిస్టమ్ కీచైన్ను సిఫార్సు చేసే పాత సమాధానం సార్వత్రిక నియమం కాదు, మరియు నిల్వల మధ్య అంశాలను కాపీ చేయడం మరమ్మత్తు కాదు.
System Roots నమ్మకం సేకరణ. అక్కడ ధృవపత్రాన్ని ఉంచడం సిస్టమ్ ఏ జారీచేయువారిని నమ్ముతుందో మారుస్తుంది; అది ప్రైవేట్ కీని సృష్టించదు, గుర్తింపు నిల్వ కాదు. ఎంపికను నింపడానికి సంబంధం లేని ధృవపత్రాలను తరలించడం యంత్రాన్ని శాశ్వతంగా విస్తరించిన నమ్మక సమితితో వదిలే మరమ్మత్తు రకం.
ప్రైవేట్ కీకి ప్రాప్యత ప్రత్యేక నియంత్రణ. ప్రతి అనువర్తనానికి కీని ఉపయోగించడానికి అనుమతి ఇవ్వడం ఒక క్లయింట్ ఎంపిక సమస్యను పరిష్కరించి అదే సామర్థ్యాన్ని యంత్రంలోని మిగతా అన్నింటికీ ఇస్తుంది. అవసరమైన క్లయింట్కు ఇవ్వండి, కీ హార్డ్వేర్ మద్దతుతో ఉందా లేదా ఎగుమతి చేయలేనిదిగా గుర్తించబడిందా అని తనిఖీ చేయండి; అలా ఉంటే, ఎగుమతి చేసిన కాపీకి బదులు మద్దతు ఉన్న ప్రదాతను ఉపయోగించాలి.
ప్రొఫైల్ ఆధారాలను ఎలా సూచిస్తుంది
నిర్వహించబడే స్థానిక IKEv2 కాన్ఫిగరేషన్లో, ప్రొఫైల్ PayloadCertificateUUID ద్వారా తన ఆధారాల పేలోడ్ను సూచిస్తుంది. సూచించిన గుర్తింపు మరియు అది ఎలా అందించబడింది అనేది ముఖ్యం; ప్రొఫైల్లోని ప్రదర్శన పేరును సవరించడం తప్పు పేలోడ్ను లేదా ఎప్పుడూ కీని అందించని పేలోడ్ను సూచించే సూచనను సరిచేయదు.
మూడవ పక్ష ప్రదాత పూర్తిగా భిన్నమైన ఎంపిక విధానాన్ని ఉపయోగించవచ్చు, ఉదాహరణకు దాని స్వంత నిల్వ లేదా సిస్టమ్ అభ్యర్థన. స్థానిక ప్రొఫైల్ ఊహలను బదిలీ చేయడానికి బదులు ఆ ప్రదాత పత్రాలను చదవండి, మరియు సూచనను నిజంగా ఇన్స్టాల్ చేసిన ప్రొఫైల్లో ధృవీకరించండి, నిర్వహణ కన్సోల్ ముసాయిదాలో కాదు.
ఎంపిక మరియు అంగీకారం వేర్వేరు మైలురాళ్ళు
నిండిన ఎంపిక అంటే క్లయింట్ గుర్తింపును కనుగొని ఉపయోగించగలదు. గేట్వే దాన్ని అంగీకరిస్తుందో లేదో దాని గురించి ఏమీ చెప్పదు. సర్వర్ ఇప్పటికీ జారీచేయువారిని, చెల్లుబాటు విండో, రద్దు స్థితి మరియు ఆ ఆధారాన్ని ఖాతాకు మ్యాపింగ్ చేయడాన్ని.
రెండు దశలను స్పష్టంగా, అదే క్రమంలో పరీక్షించండి. గుర్తింపు అందించబడుతున్నట్లు నిర్ధారించి, కనెక్ట్ అవ్వండి, ఆపై ఏ ఆధారం ప్రదర్శించబడింది మరియు ఏ మ్యాపింగ్ నియమం దాన్ని ఉపయోగించింది అని నిర్ధారించమని గేట్వే యజమానిని అడగండి. క్లయింట్ గుర్తింపును అందించి సర్వర్ తిరస్కరిస్తే, మిగిలిన పని సర్వర్ వైపు ఉంది. Mac లో ధృవపత్రాన్ని మళ్లీ ఇన్స్టాల్ చేయడం ఎన్నిసార్లు పునరావృతమైనా ఆ ఫలితాన్ని మార్చదు.