Mac VPN sertifikası: ağ geçidi hangi hesabı görür?

Profil adınızı gösterir, sertifikanın görünen etiketi başka bir şey söyler ve ağ geçidi günlüğü üçüncü bir tanımlayıcı kaydeder. Hiçbiri yalan söylemiyor ve sorun tam da bu: üç farklı alan tek bir soruyu yanıtlıyormuş gibi okunuyor. Bağlantı bir kimlik bilgisi, bir IKEv2 tanımlayıcısı ve bir hesap sunar ve ağ geçidi bunlardan hangisinin neyi yetkilendirdiğine karar verir.

Tek bağlantıda üç kimlik

Görünen profil adı insanlar için bir etikettir. Bir bağlantı seçer ve başka bir şey yapmaz. Sertifika bir kimlik bilgisidir ve bir şeyi kanıtlayıp kanıtlayamayacağı istemcinin eşleşen özel anahtara sahip olup olmadığına bağlıdır. Hesap alanı bir asıl kimlik hakkında iddiadır ve sunucu bunu başka bir yerel kimliğe eşlemekte serbesttir.

Kimlik doğrulama başarısız olduğunda hatanın üçünden hangisine atıfta bulunduğunu sorun. Reddedilen kimlik bilgisi, bilinmeyen tanımlayıcı ve devre dışı bırakılmış hesap farklı mesajlar üretir; hepsini tek bir «sertifika sorunu» olarak ele almak sizi yanlış konsola gönderir.

Yerel alanları görevlerine göre okuyun

Yönetilen yerel IKEv2 yapılandırmasında Apple'ın yük referansı değerleri ayırır ve kimlik doğrulama yöntemi hangi birleşimin gerektiğine karar verir:

Bir sertifika ve bir EAP oturumu aynı bağlantıda farklı rollere sahip olabilir. Sırf biri öyle yapıyor diye her alanı aynı metni tutmaya zorlamayın ve birini değiştirmenin diğerlerini geçersiz kıldığını varsaymayın. Üçüncü taraf bir VPN uygulaması tamamen farklı bir model sunabilir; yerel alan adlarını oraya taşımak yerine onun belgelenmiş kimlik seçimini kullanın.

Sunucu sertifikası istemci kimliği değildir

Ağ geçidini doğrulayan sertifika bir güven çapasıdır. Beklediğiniz sunucuya ulaştığınızı kanıtlar. İstemci kimliği başka bir nesnedir: bağlanan tarafın iddia ettiği kişi olduğunu kanıtlayan özel anahtara erişimi içerir. Görünen bir hesabı yeniden adlandırmak birini diğerine dönüştüremez.

İyi niyetli bir düzeltmenin yanlış gittiği yer burasıdır. Ağ geçidinin CA sertifikasını istemci deposuna aktarmak istemci kimlik doğrulaması için hiçbir şey yapmaz ve o girdiyi kullanıcı adıyla etiketlemek onu kullanıcı kimliği yapmaz. İki nesne profilin farklı bölümlerinde yaşar ve farklı soruları yanıtlar.

Asıl kimliği ağ geçidinin eşlemesine kadar izleyin

Kimlik bilgisinin ne için verildiğini doğrulayın: bu kullanıcı, bu cihaz veya paylaşılan bir rol. Mac oturum açma hesabı otomatik olarak o asıl kimlik değildir ve başka bir makineden kopyalanan sertifika, verildiği makinenin kimliğini korur.

Ardından etiketi değil, gerçek kimlik bilgisini karşılaştırın. Veren, seri numarası ve parmak izi sizin ve yöneticinin aynı nesneden söz ettiğinizi doğrulamasını sağlar. Görünen adlar düzenlenebilir ve sık sık çoğaltılır; bu da onları bir olay sırasında olası en kötü tanımlayıcı yapar.

Son adım ağ geçidindedir. Sahibinden bir bağlantıyı sunulan tanımlayıcılarla ve onları tüketen hesap eşleme kuralıyla ilişkilendirmesini isteyin. İstemci tarafındaki bir etiket sunucunun ne karar verdiğini ortaya koyamaz ve bir sertifikayı devre dışı hesaba eşleyen kural, istemci tarafındaki tüm alanlar doğru görünürken başarısız olur.

Bu uyuşmazlığın sahibi olan katmanı onarın

Profil yanlış kimlik bilgisine işaret ediyorsa referansını veya seçimini düzeltin. Kimlik bilgisi başka bir asıl kimliğe aitse etiketleri düzenlemek yerine verenin yeniden kayıt sürecinden geçin. Ağ geçidi geçerli kimlik bilgisini yanlış hesaba bağlıyorsa politika sahibi eşlemeyi düzeltmelidir. Bunlar üç farklı değişiklik ve üç farklı onaylayıcıdır.

Yenileme de aynı özeni hak eder. Sertifikayı değiştirmek, görünen etiketini yeniden adlandırmak ve bir kişiyi hesap sistemleri arasında taşımak eşlemeyi mutlaka aynı şekilde etkilemez. Üçünden hangisini değiştirdiğinizi kaydedin, çünkü bir sonraki arıza istemci tarafından aynı, ağ geçidi günlüğünde farklı görünecektir.

Yalnızca desteğin ihtiyaç duyduğu asgari genel tanımlayıcıları paylaşın. Özel anahtar veya eksiksiz kimlik paketi, tanı ne kadar kolaylaşsa da asla o takasın parçası değildir.