Mac IKEv2 ECDSA: ประเภทใบรับรองใดเป็นของไคลเอนต์
บน Mac ค่า ECDSA256 ในการตั้งค่า IKEv2 อธิบายใบรับรองอัตลักษณ์ภายในเครื่อง ไม่ใช่เกตเวย์หรือลายเซ็นของผู้ออก ควรอ่านบทบาทแต่ละอย่างก่อนเลือก
ใน macOS ตัวเลือก ECDSA ในการตั้งค่าไคลเอนต์ IKEv2 ตอบคำถามแคบๆ ข้อหนึ่งว่า ใบรับรองใดพิสูจน์อัตลักษณ์ของ Mac ตัวเลือกนี้ไม่ได้อธิบายใบรับรองของเกตเวย์ ลายเซ็นที่ออกใบรับรองไคลเอนต์ หรือข้อเสนอการเข้ารหัสของอุโมงค์ การมองทั้งสี่บทบาทเป็นคำถามเรื่องความเข้ากันได้ข้อเดียวคือสาเหตุที่การตั้งค่าภายในเครื่องที่ถูกต้องกลับถูกตำหนิเรื่องความไม่สอดคล้องฝั่งเซิร์ฟเวอร์ การตัดสินใจนี้เล็กน้อย แต่หลักฐานที่ใช้ตัดสินต้องแม่นยำ
ฟิลด์นี้ระบุใบรับรองหนึ่งใบ: อัตลักษณ์ภายในเครื่อง
Network Extension API ของ Apple เปิดเผยประเภทใบรับรองสำหรับข้อมูลรับรองของไคลเอนต์ รวมถึง NEVPNIKEv2CertificateType.ECDSA256 ซึ่งมีเอกสารระบุว่าเป็นประเภทใบรับรอง ECDSA p-256 คุณสมบัตินี้ใช้กับใบรับรองที่จัดส่งผ่าน identityReference หรือ identityData
นั่นหมายความว่าการตัดสินใจเกี่ยวข้องกับใบรับรองที่ Mac นำเสนอ และคีย์ส่วนตัวที่มาคู่กัน เลือกประเภทที่ตรงกับคีย์สาธารณะของใบรับรองใบนั้น และจัดหาอัตลักษณ์ผ่านกลไกที่รองรับ หาก Mac ไม่มีคีย์ส่วนตัวที่ใช้งานได้สำหรับอัตลักษณ์ การเลือกประเภทก็ไม่อาจช่วยการเชื่อมต่อได้
โปรไฟล์ที่จัดการจะตัดสินใจแบบเดียวกันผ่าน CertificateType ของเพย์โหลด IKEv2 พร้อมกับการอ้างอิงใบรับรองเช่น PayloadCertificateUUID ฟิลด์เหล่านี้มีข้อกำหนดเบื้องต้นและสคีมาสำหรับเวอร์ชันระบบปฏิบัติการเป้าหมาย ค่าประเภทแบบเปล่าๆ ที่คัดลอกลงโปรไฟล์ไม่สามารถติดตั้งได้ และหน้าต่างการตั้งค่าอาจไม่แสดงตัวเลือก API ทุกตัว ควรตรวจสอบข้อกำหนดเบื้องต้นของเพย์โหลดสำหรับเวอร์ชันนั้นก่อนนำไปใช้
ตัดสินตามบทบาท ไม่ใช่ตามป้ายชื่อใบรับรอง
อ่านฟิลด์ที่คุณกำลังจะเปลี่ยนแล้วถามว่ามันชี้ไปที่ใบรับรองใด ป้ายในโปรแกรมดูใบรับรองผสมปนกันระหว่างหัวเรื่อง ผู้ออก และอัลกอริทึมลายเซ็น และมีเพียงอย่างเดียวที่เกี่ยวกับการเลือกอัตลักษณ์ของไคลเอนต์
| What you inspected | What it controls | Does it choose the Mac certificate type? |
|---|---|---|
| Client leaf public key | The identity the Mac presents | Yes, this is the field's subject |
| Issuer signature algorithm | How the client certificate was signed | No |
| Gateway certificate | What the Mac validates as the peer | No, check it separately |
| IKE and ESP proposals | Algorithms for the tunnel | No, separate proposal settings |
หากโปรแกรมดูใบรับรองแสดงลายเซ็น ECDSA จาก CA นั่นคือคำอธิบายคีย์ลงนามของผู้ออก คีย์ของไคลเอนต์เองอาจยังเป็น RSA และฟิลด์ประเภทควรตามคีย์ของไคลเอนต์ ไม่ใช่บรรทัดลายเซ็น ความสับสนเดียวนี้อธิบายรายงานจำนวนมากที่ว่า "ตั้งค่า ECDSA แล้วแต่การเชื่อมต่อล้มเหลว" ก่อนจะเปลี่ยนอะไร ควรเทียบประเภทคีย์ในใบรับรองกับประเภทที่เลือกในโปรไฟล์
การตัดสินใจง่ายขึ้นเมื่อระบุใบรับรองได้แล้ว คือ ECDSA256 สำหรับคีย์ไคลเอนต์ p-256 และประเภทที่รองรับอื่นสำหรับคีย์ที่ต่างกัน หากใบรับรองไคลเอนต์กับคีย์ไม่ตรงกัน ให้แก้คู่นั้นก่อนเปลี่ยนโปรไฟล์ VPN
ใบรับรองของเกตเวย์เป็นการตัดสินใจแยกต่างหาก
เกตเวย์นำเสนอใบรับรองของตัวเอง และ Mac ตรวจสอบกับสมอความเชื่อถือและชื่อที่คาดไว้ การที่ใบรับรองนั้นใช้ ECDSA, RSA หรือคีย์ชนิดอื่นเป็นคุณสมบัติของเซิร์ฟเวอร์ ไม่ใช่ของการตั้งค่าอัตลักษณ์ไคลเอนต์
การรองรับใบรับรองไคลเอนต์ ECDSA ภายในเครื่องไม่ได้พิสูจน์ว่าใบรับรองเกตเวย์ เส้นโค้ง หรือการกำหนดค่าการพิสูจน์ตัวตนของเซิร์ฟเวอร์ทุกรูปแบบจะทำงานร่วมกันได้ ควรตรวจสอบอัตลักษณ์ของเซิร์ฟเวอร์ ห่วงโซ่ และวิธีการพิสูจน์ตัวตน IKE เป็นข้อมูลนำเข้าแยกกัน และทดสอบกับโปรไฟล์ที่จะนำไปใช้จริง
หากใบรับรองเกตเวย์คือปัญหา อาการมักปรากฏระหว่างการตรวจสอบฝ่ายตรงข้าม ไม่ใช่ตอนเลือกอัตลักษณ์ ควรอ่านขั้นตอนที่ล้มเหลวก่อนเปลี่ยนประเภทไคลเอนต์ เพราะความล้มเหลวด้านความเชื่อถือกับคีย์ไคลเอนต์ไม่ตรงกันใช้วิธีแก้ไม่เหมือนกัน
ลายเซ็นของผู้ออกและกลุ่มการตกลงคีย์ไม่ใช่ประเภทของไคลเอนต์
X.509 เก็บคีย์สาธารณะของหัวเรื่องและลายเซ็นของผู้ออกไว้ในฟิลด์แยกกัน ข้อมูลคีย์สาธารณะของหัวเรื่องอธิบายคีย์ในใบรับรอง ส่วนอัลกอริทึมลายเซ็นอธิบายคีย์ของ CA และการดำเนินการลงนาม มีเพียงอย่างแรกที่ตรงกับการตั้งค่าประเภทใบรับรอง
ข้อเสนอ IKE และ Child SA เป็นอีกแกนหนึ่ง ประเภทใบรับรอง ECDSA ไม่ใช่การเลือกการเข้ารหัส ESP และการเปลี่ยนกลุ่มการตกลงคีย์ก็ไม่ได้เลือกประเภทใบรับรอง โปรไฟล์อาจมีข้อเสนอที่ถูกต้องแต่ประเภทอัตลักษณ์ผิด หรือมีประเภทอัตลักษณ์ถูกแต่ข้อเสนอที่ฝ่ายตรงข้ามปฏิเสธ
ควรแยกสามบรรทัดในบันทึกการเปลี่ยนแปลง ได้แก่ ใบรับรองและคีย์อัตลักษณ์ ข้อมูลความเชื่อถือของเกตเวย์ และอัลกอริทึมของข้อเสนอ การรวมทั้งหมดไว้ในบันทึกเดียวว่า "การตั้งค่าคริปโต" ทำให้สาเหตุของความล้มเหลวครั้งถัดไประบุไม่ได้
ตรวจสอบการตัดสินใจด้วยฟิลด์ที่คุณกำหนดค่า
ตรวจสอบอัตลักษณ์ที่โปรไฟล์อ้างถึงจริง แล้วยืนยันว่าใบรับรอง ณ การอ้างอิงนั้นมีคีย์สาธารณะที่คาดไว้และคีย์ส่วนตัวที่ใช้งานได้ ประเภทที่แสดงใน UI ใบรับรองที่อ้างถึง และคีย์บนอุปกรณ์ต้องตรงกัน
จากนั้นยืนยันข้อมูลนำเข้าของเกตเวย์ ได้แก่ ชื่อเซิร์ฟเวอร์ที่คาดไว้ สมอความเชื่อถือ และวิธีการพิสูจน์ตัวตน IKE สุดท้ายให้เชื่อมต่อและอ่านว่าการจับมือหยุดที่ใด ความล้มเหลวก่อนการแลกเปลี่ยนอัตลักษณ์ชี้ให้พ้นจากการตั้งค่านี้ ส่วนความล้มเหลวในการตรวจสอบฝ่ายตรงข้ามชี้ไปทางฝั่งเกตเวย์
บันทึกประเภทที่เลือก การอ้างอิงอัตลักษณ์ และหัวเรื่องของใบรับรองเกตเวย์ไว้ในบันทึกการนำไปใช้ การอัปเดตโปรไฟล์ครั้งถัดไปอาจเปลี่ยนค่าใดค่าหนึ่งได้ และค่าที่มีชื่อสามค่าก็เปรียบเทียบได้เร็วกว่าภาพหน้าจอของแผงการตั้งค่า