Mac IKEv2 ECDSA: hangi sertifika türü istemciye ait?
Bir Mac'te IKEv2 ayarlarındaki ECDSA256 yerel kimlik sertifikasını tanımlar; ağ geçidini veya vericinin imzasını değil. Seçim yapmadan önce her rolü okuyun.
macOS'te IKEv2 istemci ayarındaki ECDSA seçimi dar bir soruyu yanıtlar: hangi sertifika Mac'in kimliğini kanıtlar. Ağ geçidi sertifikasını, istemci sertifikasını veren imzayı veya tünelin şifreleme önerisini tanımlamaz. Bu dört rolü tek bir uyumluluk sorusu olarak ele almak, doğru bir yerel ayarın sunucu tarafındaki uyumsuzlukla suçlanmasına yol açar. Karar küçüktür, ancak ona dayanak olan kanıtlar kesin olmalıdır.
Bu alan bir sertifikayı adlandırır: yerel kimlik
Apple'ın Network Extension API'si istemci kimlik bilgisi için bir sertifika türü sunar; buna ECDSA p-256 sertifika türü olarak belgelenen NEVPNIKEv2CertificateType.ECDSA256 dahildir. Özellik, identityReference veya identityData aracılığıyla sağlanan sertifika için geçerlidir.
Bu, kararın Mac'in sunduğu sertifika ve ona eşlik eden özel anahtarla ilgili olduğu anlamına gelir. O yaprak sertifikanın ortak anahtarıyla eşleşen türü seçin ve kimliği desteklenen mekanizmayla sağlayın. Mac'in kimlik için kullanılabilir özel anahtarı yoksa tür seçimi bağlantıyı kurtaramaz.
Yönetilen profiller aynı kararı IKEv2 yükünün CertificateType alanı ve PayloadCertificateUUID gibi bir sertifika başvurusuyla verir. Bu alanların hedef işletim sistemi sürümü için ön koşulları ve bir şeması vardır; profile kopyalanan çıplak tür değeri kurulamaz ve ayarlar penceresi her API seçeneğini göstermeyebilir. Dağıtımdan önce o sürüm için yükün ön koşullarını denetleyin.
Sertifika etiketine göre değil, role göre karar verin
Değiştirmek üzere olduğunuz alanı okuyun ve hangi sertifikaya işaret ettiğini sorun. Sertifika görüntüleyicideki etiketler konuyu, vericiyi ve imza algoritmasını birbirine karıştırır; bunlardan yalnızca biri istemci kimliği seçimine aittir.
| What you inspected | What it controls | Does it choose the Mac certificate type? |
|---|---|---|
| Client leaf public key | The identity the Mac presents | Yes, this is the field's subject |
| Issuer signature algorithm | How the client certificate was signed | No |
| Gateway certificate | What the Mac validates as the peer | No, check it separately |
| IKE and ESP proposals | Algorithms for the tunnel | No, separate proposal settings |
Sertifika görüntüleyici CA'dan bir ECDSA imzası gösteriyorsa bu, vericinin imzalama anahtarını tanımlar. İstemcinin kendi anahtarı hâlâ RSA olabilir ve tür alanı imza satırını değil istemci anahtarını izlemelidir. Bu tek karışıklık, "ECDSA yapılandırıldı ama bağlantı başarısız" biçimindeki birçok raporu açıklar. Herhangi bir şeyi değiştirmeden önce yapraktaki anahtar türünü profilde seçilen türle karşılaştırın.
Yaprak belirlendiğinde karar kolaylaşır: p-256 istemci anahtarı için ECDSA256, farklı bir anahtar için başka bir desteklenen tür. İstemci sertifikası ile anahtarı eşleşmiyorsa VPN profilini değiştirmeden önce bu çifti düzeltin.
Ağ geçidi sertifikası ayrı bir karardır
Ağ geçidi kendi sertifikasını sunar ve Mac bunu bir güven çapası ile beklenen ada göre doğrular. Bu sertifikanın ECDSA, RSA veya başka bir anahtar türü kullanması sunucunun özelliğidir, istemci kimliği ayarının değil.
ECDSA istemci sertifikası için yerel destek, her ağ geçidi sertifikasının, eğrinin veya sunucu kimlik doğrulama yapılandırmasının birlikte çalışacağını kanıtlamaz. Sunucunun kimliğini, zincirini ve IKE kimlik doğrulama yöntemini ayrı girdiler olarak denetleyin ve gerçekten dağıtılacak profille test edin.
Sorun ağ geçidi sertifikasıysa, belirti genellikle kimlik seçiminde değil eş doğrulaması sırasında ortaya çıkar. İstemci türünü değiştirmeden önce hata aşamasını okuyun, çünkü güven hatası ile istemci anahtarı uyumsuzluğu aynı düzeltmeyi paylaşmaz.
Vericinin imzası ve anahtar anlaşma grubu istemci türü değildir
X.509, konunun ortak anahtarını ve vericinin imzasını farklı alanlarda tutar. Konunun ortak anahtar bilgisi sertifikadaki anahtarı tanımlar; imza algoritması CA'nın anahtarını ve imzalama işlemini tanımlar. Yalnızca ilki sertifika türü ayarıyla eşleşir.
IKE ve Child SA önerileri başka bir eksendir. ECDSA sertifika türü bir ESP şifreleme seçimi değildir ve anahtar anlaşma grubunu değiştirmek bir sertifika türü seçmez. Bir profilde geçerli öneriler ve yanlış kimlik türü ya da doğru kimlik türü ve eşin reddettiği bir öneri bulunabilir.
Değişiklik kaydında üç satırı ayrı tutun: kimlik sertifikası ve anahtar, ağ geçidinin güven girdileri ve önerilerin algoritmaları. Bunları tek bir "kripto ayarları" notunda birleştirmek, sonraki hatayı atfedilemez kılar.
Kararı yapılandırdığınız alanlarla doğrulayın
Profilin gerçekte başvurduğu kimliği denetleyin, ardından o başvurudaki sertifikanın beklenen ortak anahtara ve kullanılabilir özel anahtara sahip olduğunu doğrulayın. Arayüzde gösterilen tür, başvurulan sertifika ve cihazdaki anahtar birbiriyle uyuşmalıdır.
Ardından ağ geçidi girdilerini doğrulayın: beklenen sunucu adı, güven çapası ve IKE kimlik doğrulama yöntemi. Son olarak bağlanın ve el sıkışmanın nerede durduğunu okuyun. Kimlik değişiminden önceki hata bu ayardan uzağa işaret eder; eş doğrulamasındaki hata ağ geçidi tarafına işaret eder.
Seçilen türü, kimlik başvurusunu ve ağ geçidi sertifikasının konusunu dağıtım notlarına yazın. Sonraki profil güncellemesi bunlardan herhangi birini değiştirebilir ve üç adlandırılmış değeri karşılaştırmak bir ayarlar panelinin ekran görüntüsünden daha hızlıdır.