Mac'te VPN'e sertifikayla giriş: kimlik, anahtar kullanımı veya geçite güven?
Sertifikayla girişin arkasında üç karar vardır: hangi kimliğin seçileceği, VPN bileşeninin anahtarını kullanıp kullanamayacağı ve geçite güvenilip güvenilmediği.
Sertifika tabanlı VPN girişleri Mac'ten paroladan daha dar bir şey ister: bu belirli özel anahtarı, bu yürütme bağlamında, o geçide kimlik kanıtlamak için kullan. Başarısız olduğunda, ileti genellikle yalnızca en son yanlış giden şeyi anlatır ve bu nadiren asıl nedendir. Üç kararı sistemin verdiği sırayla gözden geçirmek tanıyı dürüst tutar ve yerel bir izin sorununun zincir doğrulama hatası olarak ele alınmasını önler.
Girişi Mac'in yaptığı sırayla izle
Önce istemci bir kimlik seçer: kullanılabilir bir özel anahtarla eşleştirilmiş sertifika, desteklenen depo veya kimlik bilgisi sağlayıcısı üzerinden erişilebilir. Ardından VPN bileşeni o anahtarla kriptografik bir işlem yapılmasını ister ve yerel yetkilendirme modeli yanıt verir. Ancak ikisi de başarılı olduktan sonra uzak el sıkışma gerçekleşir; orada Mac geçidi, geçit de istemcinin kanıtını değerlendirir.
| Decision | Typical symptom | Where to look |
|---|---|---|
| Identity selection | No valid identity, wrong certificate offered | Profile and which identity the client picked |
| Local key use | Signing or interaction error before any handshake | Execution context and key access rules |
| Remote authentication | Chain, name or client-admission rejection | Gateway identity and what it accepts |
Tabloyu yukarıdan aşağıya okuyun ve başarısız olan ilk satırda durun. Başarısızlığın altındaki her şey kanıtlanmamıştır; bu yüzden «sertifikaya güvenilmiyor» hem bu kadar yaygın hem de bu kadar güvenilmez bir sonuçtur.
Yerel izin gerçekte neyi kapsar
macOS anahtar zinciri modelinde, korunan öğeler işleme özgü erişim kuralları ve güvenilen uygulamalar listesi taşır. Özel anahtarla imzalamak bu işlemlerden biridir ve kurallar bunu yapan yürütülebilir dosyaya uygulanır, belge olarak sertifikaya değil. Apple'ın erişim denetimi başvurusu bu model ile iCloud anahtar zinciri ve erişim grubu düzenlemeleri arasında da bir çizgi çeker; bu yüzden biri için yazılmış tavsiye diğerine geçmez.
Bundan iki sonuç çıkar. Bir listede görünen ortak sertifika, VPN'in arka plan bileşeninin o anahtara hiç ulaşabildiğini kanıtlamaz. Ve ön uç uygulamasına verilen izin, ayrı bir yardımcı ya da ağ uzantısı hakkında hiçbir şey söylemez, çünkü onlar farklı kimliklere sahip farklı koddur.
Eski bir istemciden yürütülebilir dosya yolunu kopyalamak yerine gerçek uygulamayı ve desteklenen kimlik bilgisi paylaşım mekanizmasını belirle. Önce sistemin hangi kimliği sunacağını doğrula:
security find-identity -v -p ssl-clienterrSecInteractionNotAllowed okuması
Bu durum Security Server ile izin verilmeyen bir etkileşimi bildirir ve sertifika zincirleri hakkında hiçbir şey söylemez. Onu üreten işlemle birlikte oku: istem gösteremeyen bir bağlamdan verilen imza isteği, anahtar ve sertifika tamamen geçerli olsa bile bu şekilde başarısız olur. Başlanacak yer, onu günlüğe yazan işlemdir, sertifika deposu değil. Güven çıpalarında değiştirdiğiniz her şey hatayı tam olarak olduğu yerde bırakacaktır.
Bu yüzden kodu, yürütme bağlamını ve yetkilendirmeyi incelemek için bir neden olarak gör. Onu geçidin CA'sına güvenilmediğinin kanıtı saymak sizi sorunun yanlış yarısına gönderir ve orada yaptığınız değişiklik hatayı hiç etkilemez.
Dar onarın, geniş değil
Bağlantı sahibinin kayıt veya içe aktarma talimatlarıyla başlayın. İstemci sürümünü, profilin kapsamını, seçilen kimliği ve ilk ilgili yerel hatayı kaydedin, çünkü desteğe devir teslimin ihtiyaç duyduğu dört olgu bunlardır ve sonraki karşılaştırma bunlara bağlıdır. Yönetilen bir profil veya donanımla desteklenen bir kimlik, yöneticinin ya da sağlayıcının devir teslimi onarmasını gerektirebilir ve hiçbir yerel tıklama miktarı bunun yerini tutmaz.
Ürünün kullanıcı onayı beklediği yerlerde hangi bileşenin istediğini doğrulayın ve yalnızca o erişimi desteklenen akışla onaylayın. Bileşenin çalıştığı bağlamda istem çıkarma yolu yoksa, hazırlık satıcının belgelediği yolu izlemelidir, başka bir terminal penceresinden çekilmiş bir iletişim kutusunu değil.
Eski tavsiyelerde iki değişiklik birlikte paketlenir ve ikisi de fazla geniştir. Her uygulamaya özel anahtara erişim vermek yerel anahtar kullanımını gereksinimin çok ötesine genişletir ve sertifikayı Always Trust'a ayarlamak makinedeki her şey için sertifika değerlendirmesini değiştirir. Hiçbiri «bu onaylanmış VPN uygulaması, bu amaçlanan kimliği kullanarak» ifadesini vermez.
Geçidi okumadan önce yerel olarak doğrulayın
Onarımdan sonra yerel işlemin başarılı olduğunu doğrulayın karşı taraftan gelen herhangi bir yanıtı yorumlamadan önce. İmzalama artık çalışıyorsa, sonraki bir ad, zincir veya istemci kabulü reddi yineleme değil yeni bir sonuçtur ve farklı bir sorumlusu olan farklı bir karara aittir.
Yararlı bir devir teslim üç karardan hangisinin başarısız olduğunu adlandırır ve orada durur. Özel anahtarı asla içermez ve temiz bir sayfanın yardımcı olacağı umuduyla ilgisiz anahtar zinciri öğelerini asla sıfırlamaz. Bu iki alışkanlığı olaydan önce edinin, olay sırasında değil; her şeyi birden deneme dürtüsü o zaman en güçlüdür. «Anahtar zinciri yeniden oluşturuldu» diyen bir bilet, sonraki okuyucuya özgün arıza hakkında neredeyse hiçbir şey söylemez.