ใบรับรอง VPN ของ Mac: เกตเวย์เห็นบัญชีใด
ป้ายโปรไฟล์ ข้อมูลรับรอง และช่องบัญชีตอบคำถามต่างกัน ติดตามตัวตนหลักไปจนถึงการแมปที่เกตเวย์ก่อนจะเปลี่ยนชื่อสิ่งใด
โปรไฟล์แสดงชื่อของคุณ ป้ายที่มองเห็นได้ของใบรับรองบอกอีกอย่าง และบันทึกของเกตเวย์บันทึกตัวระบุที่สาม ไม่มีสิ่งใดโกหก และนั่นคือปัญหา: ฟิลด์สามฟิลด์ที่แตกต่างกันถูกอ่านราวกับว่าตอบคำถามเดียว การเชื่อมต่อนำเสนอข้อมูลรับรอง ตัวระบุ IKEv2 และบัญชี และเกตเวย์ตัดสินว่าตัวใดอนุญาตอะไร
สามตัวตนในการเชื่อมต่อเดียว
ชื่อโปรไฟล์ที่มองเห็นได้คือป้ายสำหรับมนุษย์ มันเลือกการเชื่อมต่อและไม่มีอย่างอื่น ใบรับรองคือข้อมูลรับรอง และจะพิสูจน์อะไรได้หรือไม่นั้นขึ้นอยู่กับว่าไคลเอนต์มีคีย์ส่วนตัวที่ตรงกันหรือไม่ ช่องบัญชีคือข้อกล่าวอ้างเกี่ยวกับตัวตนหลัก และเซิร์ฟเวอร์มีอิสระที่จะแมปไปยังตัวตนภายในอื่น
เมื่อการพิสูจน์ตัวตนล้มเหลว ให้ถามว่าข้อผิดพลาดอ้างถึงตัวใดในสามตัว ข้อมูลรับรองที่ถูกปฏิเสธ ตัวระบุที่ไม่รู้จัก และบัญชีที่ถูกปิดใช้งานให้ข้อความที่ต่างกัน และการถือว่าทั้งหมดเป็น «ปัญหาใบรับรอง» เดียวจะส่งคุณไปยังคอนโซลที่ผิด
อ่านฟิลด์ดั้งเดิมตามหน้าที่ของมัน
ในการกำหนดค่า IKEv2 ดั้งเดิมที่มีการจัดการ การอ้างอิงเพย์โหลดของ Apple แยกค่า และวิธีการพิสูจน์ตัวตนกำหนดว่าต้องใช้ชุดผสมใด:
| Field | Identifies | Common misreading |
|---|---|---|
| AuthName | Username for the configured arrangement | Assuming it is the certificate subject |
| LocalIdentifier | IKEv2 client identifier | Assuming it must equal the username |
| PayloadCertificateUUID | Referenced credential payload | Assuming any installed certificate will do |
ใบรับรองและการเข้าสู่ระบบ EAP สามารถมีบทบาทต่างกันในการเชื่อมต่อเดียวกัน อย่าบังคับให้ทุกฟิลด์มีข้อความเดียวกันเพียงเพราะหนึ่งในนั้นทำเช่นนั้น และอย่าคิดว่าการเปลี่ยนหนึ่งจะยกเลิกตัวอื่น แอป VPN ของบุคคลที่สามอาจแสดงรูปแบบที่ต่างออกไปโดยสิ้นเชิง ใช้การเลือกตัวตนที่มีเอกสารประกอบแทนการนำชื่อฟิลด์ดั้งเดิมไปใส่
ใบรับรองเซิร์ฟเวอร์ไม่ใช่ตัวตนของไคลเอนต์
ใบรับรองที่ตรวจสอบเกตเวย์คือสมอแห่งความไว้วางใจ มันพิสูจน์ว่าคุณไปถึงเซิร์ฟเวอร์ที่คาดไว้ ตัวตนของไคลเอนต์เป็นวัตถุอีกอย่าง รวมถึงการเข้าถึงคีย์ส่วนตัวที่พิสูจน์ว่าฝ่ายที่เชื่อมต่อคือผู้ที่อ้างว่าเป็น การเปลี่ยนชื่อบัญชีที่มองเห็นได้ไม่สามารถเปลี่ยนสิ่งหนึ่งเป็นอีกสิ่งหนึ่ง
นี่คือจุดที่การแก้ไขด้วยเจตนาดีผิดพลาด การนำเข้าใบรับรอง CA ของเกตเวย์เข้าสู่ที่เก็บของไคลเอนต์ไม่ได้ทำอะไรเพื่อการพิสูจน์ตัวตนของไคลเอนต์ และการติดป้ายรายการนั้นด้วยชื่อผู้ใช้ไม่ได้ทำให้เป็นตัวตนของผู้ใช้ วัตถุทั้งสองอาศัยอยู่ในส่วนต่าง ๆ ของโปรไฟล์และตอบคำถามต่างกัน
ติดตามตัวตนหลักไปจนถึงการแมปที่เกตเวย์
ยืนยันว่าข้อมูลรับรองออกให้เพื่ออะไร: ผู้ใช้รายนี้ อุปกรณ์นี้ หรือบทบาทที่ใช้ร่วมกัน บัญชีเข้าสู่ระบบของ Mac ไม่ใช่ตัวตนหลักนั้นโดยอัตโนมัติ และใบรับรองที่คัดลอกจากเครื่องอื่นยังคงตัวตนของเครื่องที่ออกให้
จากนั้นเปรียบเทียบข้อมูลรับรองจริง ไม่ใช่ป้าย ผู้ออก หมายเลขซีเรียล และลายนิ้วมือช่วยให้คุณและผู้ดูแลยืนยันว่ากำลังพูดถึงวัตถุเดียวกัน ชื่อที่แสดงแก้ไขได้และมักซ้ำกัน ซึ่งทำให้เป็นตัวระบุที่แย่ที่สุดระหว่างเหตุการณ์
ขั้นตอนสุดท้ายอยู่ที่เกตเวย์ ขอให้เจ้าของเชื่อมโยงการเชื่อมต่อหนึ่งรายการกับตัวระบุที่นำเสนอ และกับกฎการแมปบัญชีที่ใช้ตัวระบุเหล่านั้น ป้ายฝั่งไคลเอนต์ไม่สามารถยืนยันว่าเซิร์ฟเวอร์ตัดสินใจอะไร และกฎที่แมปใบรับรองไปยังบัญชีที่ปิดใช้งานจะล้มเหลวในขณะที่ฟิลด์ฝั่งไคลเอนต์ทั้งหมดดูถูกต้อง
ซ่อมชั้นที่เป็นเจ้าของความไม่ตรงกันนี้
หากโปรไฟล์ชี้ไปยังข้อมูลรับรองที่ผิด ให้แก้ไขการอ้างอิงหรือการเลือก หากข้อมูลรับรองเป็นของตัวตนหลักอื่น ให้ผ่านการลงทะเบียนใหม่กับผู้ออกแทนการแก้ไขป้าย หากเกตเวย์ผูกข้อมูลรับรองที่ถูกต้องกับบัญชีที่ผิด เจ้าของนโยบายต้องแก้ไขการแมป สิ่งเหล่านี้คือการเปลี่ยนแปลงสามอย่างที่ต่างกันพร้อมผู้อนุมัติสามคน
การต่ออายุสมควรได้รับการดูแลเช่นเดียวกัน การเปลี่ยนใบรับรอง การเปลี่ยนชื่อป้ายที่มองเห็นได้ และการย้ายบุคคลระหว่างระบบบัญชีไม่ได้ส่งผลต่อการแมปในลักษณะเดียวกันเสมอ บันทึกว่าคุณเปลี่ยนสิ่งใดในสามสิ่ง เพราะความล้มเหลวครั้งต่อไปจะดูเหมือนกันจากฝั่งไคลเอนต์และต่างกันในบันทึกของเกตเวย์
แชร์เฉพาะตัวระบุสาธารณะขั้นต่ำที่ฝ่ายสนับสนุนต้องการ คีย์ส่วนตัวหรือชุดตัวตนที่สมบูรณ์ไม่เคยเป็นส่วนหนึ่งของการแลกเปลี่ยนนั้น ไม่ว่าการวินิจฉัยจะสะดวกขึ้นเพียงใด