การเข้าสู่ระบบ VPN ด้วยใบรับรองบน Mac: ตัวตน การใช้คีย์ หรือความไว้วางใจในเกตเวย์?
การเข้าสู่ระบบด้วยใบรับรองมีสามการตัดสินใจอยู่เบื้องหลัง: จะเลือกตัวตนใด องค์ประกอบ VPN ใช้คีย์ของตนได้หรือไม่ และไว้วางใจเกตเวย์ได้หรือไม่
การเข้าสู่ระบบ VPN ที่อิงใบรับรองขอสิ่งที่แคบกว่ารหัสผ่านจาก Mac นั่นคือ การใช้คีย์ส่วนตัวนี้โดยเฉพาะ ในบริบทการทำงานนี้ เพื่อพิสูจน์ตัวตนต่อเกตเวย์นั้น เมื่อล้มเหลว ข้อความมักบอกเพียงสิ่งสุดท้ายที่ผิดพลาด และสิ่งนั้นไม่ค่อยเป็นสาเหตุ การไล่ตามลำดับการตัดสินใจทั้งสามตามลำดับที่ระบบตัดสินใจทำให้การวินิจฉัยซื่อตรง และป้องกันไม่ให้ปัญหาสิทธิ์ในเครื่องถูกมองว่าเป็นความล้มเหลวของการตรวจสอบห่วงโซ่ใบรับรอง
ไล่การเข้าสู่ระบบตามลำดับที่ Mac ทำ
ก่อนอื่นไคลเอนต์เลือกตัวตน: ใบรับรองที่จับคู่กับคีย์ส่วนตัวที่ใช้งานได้ ซึ่งเข้าถึงได้ผ่านที่เก็บหรือผู้ให้บริการข้อมูลรับรองที่รองรับ จากนั้นองค์ประกอบ VPN ขอให้ดำเนินการเข้ารหัสด้วยคีย์นั้น และแบบจำลองการอนุญาตในเครื่องจะตอบกลับ เฉพาะเมื่อทั้งสองสำเร็จเท่านั้นจึงจะเกิดการจับมือจากระยะไกล ซึ่ง Mac ประเมินเกตเวย์และเกตเวย์ประเมินหลักฐานของไคลเอนต์
| Decision | Typical symptom | Where to look |
|---|---|---|
| Identity selection | No valid identity, wrong certificate offered | Profile and which identity the client picked |
| Local key use | Signing or interaction error before any handshake | Execution context and key access rules |
| Remote authentication | Chain, name or client-admission rejection | Gateway identity and what it accepts |
อ่านตารางจากบนลงล่างและหยุดที่แถวแรกที่ล้มเหลว ทุกอย่างใต้ความล้มเหลวยังไม่ได้รับการพิสูจน์ นั่นคือเหตุผลที่ “ใบรับรองไม่ได้รับความไว้วางใจ” เป็นข้อสรุปที่พบบ่อยและไม่น่าเชื่อถือเช่นนี้
สิทธิ์ในเครื่องครอบคลุมอะไรจริง ๆ
ในแบบจำลองพวงกุญแจของ macOS รายการที่ได้รับการป้องกันมีกฎการเข้าถึงเฉพาะการดำเนินการและรายการแอปพลิเคชันที่ไว้วางใจ การลงนามด้วยคีย์ส่วนตัวเป็นการดำเนินการอย่างหนึ่ง และกฎเหล่านี้ใช้กับไฟล์เรียกทำงานที่ดำเนินการนั้น ไม่ใช่กับใบรับรองในฐานะเอกสาร เอกสารอ้างอิงการควบคุมการเข้าถึงของ Apple ยังลากเส้นแบ่งระหว่างแบบจำลองนี้กับพวงกุญแจ iCloud และการจัดกลุ่มการเข้าถึง คำแนะนำที่เขียนไว้สำหรับแบบหนึ่งจึงไม่ย้ายไปอีกแบบ
ผลลัพธ์สองประการตามมา การที่ใบรับรองสาธารณะปรากฏในรายการไม่ได้พิสูจน์ว่าองค์ประกอบเบื้องหลังของ VPN เข้าถึงคีย์นั้นได้เลย และสิทธิ์ที่ให้กับแอปพลิเคชันส่วนหน้าไม่ได้บอกอะไรเกี่ยวกับตัวช่วยหรือส่วนขยายเครือข่ายที่แยกจากกัน เพราะเป็นโค้ดคนละชุดที่มีตัวตนต่างกัน
ระบุการใช้งานจริงและกลไกการแบ่งปันข้อมูลรับรองที่รองรับ แทนการคัดลอกเส้นทางไฟล์เรียกทำงานจากไคลเอนต์เก่า ก่อนอื่นยืนยันว่าระบบจะเสนอตัวตนใด:
security find-identity -v -p ssl-clientการอ่าน errSecInteractionNotAllowed
สถานะนั้นรายงานการโต้ตอบที่ไม่อนุญาตกับ Security Server และไม่บอกอะไรเกี่ยวกับห่วงโซ่ใบรับรอง อ่านร่วมกับการดำเนินการที่ทำให้เกิด: คำขอลงนามที่ออกจากบริบทที่ไม่สามารถแสดงข้อความแจ้งจะล้มเหลวเช่นนี้แม้คีย์และใบรับรองจะถูกต้องสมบูรณ์ทั้งคู่ จุดเริ่มต้นคือการดำเนินการที่บันทึกไว้ ไม่ใช่ที่เก็บใบรับรอง สิ่งใดที่คุณเปลี่ยนเกี่ยวกับสมอความไว้วางใจจะทิ้งข้อผิดพลาดไว้ที่เดิมทุกประการ
ดังนั้นจงถือว่ารหัสนี้เป็นเหตุผลในการตรวจสอบบริบทการทำงานและการอนุญาต การถือเป็นหลักฐานว่า CA ของเกตเวย์ไม่น่าไว้วางใจจะพาคุณไปผิดครึ่งของปัญหา และการเปลี่ยนแปลงที่ทำตรงนั้นจะไม่ส่งผลต่อข้อผิดพลาดเลย
ซ่อมอย่างแคบ ไม่ใช่กว้าง
เริ่มจากคำแนะนำการลงทะเบียนหรือการนำเข้าของเจ้าของการเชื่อมต่อ บันทึกเวอร์ชันไคลเอนต์ ขอบเขตโปรไฟล์ ตัวตนที่เลือก และข้อผิดพลาดในเครื่องแรกที่เกี่ยวข้อง เพราะข้อเท็จจริงสี่ประการนี้คือสิ่งที่การส่งต่อให้ฝ่ายสนับสนุนต้องการ และการเปรียบเทียบในภายหลังขึ้นอยู่กับสิ่งเหล่านี้ โปรไฟล์ที่ได้รับการจัดการหรือตัวตนที่หนุนด้วยฮาร์ดแวร์อาจต้องให้ผู้ดูแลระบบหรือผู้ให้บริการซ่อมการส่งต่อ และการคลิกในเครื่องไม่ว่ามากเพียงใดก็ทดแทนไม่ได้
ในจุดที่ผลิตภัณฑ์คาดหวังการอนุมัติจากผู้ใช้ ให้ยืนยันว่าองค์ประกอบใดเป็นผู้ขอ และอนุมัติเฉพาะการเข้าถึงนั้นผ่านขั้นตอนที่รองรับ ในจุดที่องค์ประกอบไม่มีทางแสดงข้อความแจ้งในบริบทที่ทำงานอยู่ การจัดเตรียมต้องเดินตามเส้นทางที่ผู้ขายจัดทำเอกสารไว้ ไม่ใช่กล่องโต้ตอบที่ดึงมาจากหน้าต่างเทอร์มินัลอื่น
คำแนะนำเก่ามักรวมการเปลี่ยนแปลงสองอย่างเข้าด้วยกัน และทั้งสองกว้างเกินไป การให้ทุกแอปพลิเคชันเข้าถึงคีย์ส่วนตัวขยายการใช้คีย์ในเครื่องไกลเกินข้อกำหนด และการตั้งค่าใบรับรองเป็น Always Trust เปลี่ยนการประเมินใบรับรองสำหรับทุกสิ่งในเครื่อง ไม่มีสิ่งใดแสดงถึง “การใช้งาน VPN ที่ได้รับอนุมัตินี้ โดยใช้ตัวตนที่ตั้งใจไว้นี้”
ตรวจสอบในเครื่องก่อนอ่านเกตเวย์
หลังการซ่อม ให้ยืนยันว่าการดำเนินการในเครื่องสำเร็จ ก่อนที่คุณจะตีความการตอบกลับใด ๆ จากอีกฝ่าย หากการลงนามทำงานได้แล้ว การปฏิเสธชื่อ ห่วงโซ่ หรือการรับไคลเอนต์ในภายหลังเป็นผลลัพธ์ใหม่ ไม่ใช่การกลับมาเป็นซ้ำ และเป็นของการตัดสินใจอื่นที่มีผู้รับผิดชอบอื่น
การส่งต่อที่มีประโยชน์ระบุว่าการตัดสินใจใดในสามข้อล้มเหลวและหยุดตรงนั้น ไม่เคยรวมคีย์ส่วนตัว และไม่เคยรีเซ็ตรายการพวงกุญแจที่ไม่เกี่ยวข้องโดยหวังว่าสภาพที่สะอาดจะช่วยได้ ตั้งนิสัยสองข้อนี้ไว้ก่อนเกิดเหตุ ไม่ใช่ระหว่างเกิดเหตุ เมื่อสิ่งล่อใจให้ลองทุกอย่างพร้อมกันแรงที่สุด ตั๋วที่เขียนว่า “สร้างพวงกุญแจใหม่” แทบไม่บอกอะไรแก่ผู้อ่านคนถัดไปเกี่ยวกับข้อบกพร่องดั้งเดิม