Mac VPN sertifikası: kimlik seçici neden boş kalıyor
İstemcinin sertifikaya ve özel anahtarına, onu okuduğu bir depoda ihtiyacı var. Önce kimliği kontrol edin, sonra ağ geçidinin onu kabul edip etmediğine bakın.
Sertifikayı kurdunuz, Keychain Access'te tanıdık bir adla görünüyor ve VPN istemcisinin kimlik seçicisi hâlâ boş. İstemci bir sertifika aramıyor. Bir kimlik arıyor: sahipliği kanıtlayabilen özel anahtarla eşleştirilmiş, istemcinin okumasına izin verilen yerde saklanan bir sertifika.
İstemcinin istediği şey kimlik
Apple'ın güvenlik çerçevesi sertifika ile kimliği farklı nesneler olarak ele alır. Sertifika açık veridir. Kimlik, o sertifika ile özel anahtarının birleşimidir ve yalnızca kimlik bir sorgulamayı tamamlayabilir. Güvenilen bir CA sertifikası ise istemcinin bir verene değer biçmesini sağlar; makineyi verilmiş bir istemci kimlik bilgisinin sahibi yapmaz.
| Item | What it can do | What it cannot do |
|---|---|---|
| CA or server certificate | Validate the gateway's chain | Authenticate this client |
| Client certificate without key | Nothing for authentication | Prove possession of anything |
| Identity (cert plus key) | Answer the authentication challenge | Guarantee the gateway accepts it |
Bu yüzden .cer dosyasını içe aktarmak hiçbir zaman kullanılabilir bir istemci kimliği üretmez. Dosya yalnızca açık malzeme taşır ve ne yeniden adlandırma ne de güvenme onu bir anahtar çiftine dönüştürür.
Seçicinin boş kalmasının üç nedeni
Birincisi eksik özel anahtardır, yani kayıt veya içe aktarma süreci bir tane teslim etmemiştir. İkincisi istemcinin başvurmadığı bir depodur: kullanıcı kapsamlı bir profil kullanıcının anahtarlığına bakar ve sistem deposuna konan bir öğe onun için görünmez olabilir. Üçüncüsü amaç veya ilke uyuşmazlığıdır; sertifika vardır ancak dağıtımın kurallarına göre istemci kimlik doğrulaması için geçerli değildir.
security find-identity -v -p ssl-clientBu, sistemin istemci kimlik doğrulaması için geçerli saydığı kimlikleri listeler. Sayı sıfırsa sorun VPN istemcisinin üstündedir ve hiçbir profil düzenlemesi bunu düzeltmez. Kimlik burada görünüp istemcide görünmüyorsa fark, istemcinin deposunda veya kapsamındadır.
Özel anahtar nerede yaşıyor ve kimler kullanabilir
Keychain Access üzerinden kimlik içe aktardığınızda, içe aktarma iletişim kutusu bir hedef anahtarlık önerir. Hangi hedefin doğru olduğu istemciye ve profilin kullanıcı mı aygıt mı kapsamında olduğuna bağlıdır. Sistem anahtarlığını öneren eski yanıt evrensel bir kural değildir ve öğeleri depolar arasında kopyalamak bir onarım değildir.
System Roots bir güven koleksiyonudur. Oraya sertifika koymak sistemin hangi verenlere güvendiğini değiştirir; özel anahtar oluşturmaz ve bir kimlik deposu değildir. Seçiciyi doldurmak için ilgisiz sertifikaları taşımak, makineyi kalıcı olarak genişletilmiş bir güven kümesiyle bırakan onarım türüdür.
Özel anahtara erişim ayrı bir denetimdir. Her uygulamaya anahtarı kullanma izni vermek bir istemcinin seçim sorununu çözer ve aynı yeteneği makinedeki diğer her şeye verir. Bunu ihtiyaç duyan istemciye verin ve anahtarın donanım destekli mi yoksa dışa aktarılamaz olarak mı işaretli olduğunu kontrol edin; öyleyse dışa aktarılmış bir kopya yerine desteklenen sağlayıcı kullanılmalıdır.
Profil kimlik bilgisine nasıl işaret eder
Yönetilen yerel IKEv2 yapılandırmasında profil, kimlik bilgisi yüküne PayloadCertificateUUID aracılığıyla başvurur. Önemli olan başvurulan kimlik ve bunun nasıl sağlandığıdır; profildeki görünen adı düzenlemek, yanlış yüke veya hiç anahtar teslim etmemiş bir yüke işaret eden bir başvuruyu onarmaz.
Üçüncü taraf bir sağlayıcı tamamen farklı bir seçim mekanizması kullanabilir; örneğin kendi deposu veya sistem istemi. Yerel profil varsayımlarını aktarmak yerine o sağlayıcının belgelerini okuyun ve başvuruyu gerçekten kurulu profilde doğrulayın, yönetim konsolundaki taslakta değil.
Seçim ve kabul ayrı aşamalardır
Dolu bir seçici, istemcinin kimliği bulup kullanabildiği anlamına gelir. Ağ geçidinin onu kabul edip etmeyeceği hakkında hiçbir şey söylemez. Sunucu yine de vereni, geçerlilik penceresini, iptal durumunu ve o kimlik bilgisinin bir hesaba eşlenmesini.
Her iki aşamayı da açıkça, bu sırayla test edin. Kimliğin sunulduğunu doğrulayın, bağlanın ve ardından ağ geçidinin sahibinden hangi kimlik bilgisinin sunulduğunu ve hangi eşleme kuralının onu kullandığını doğrulamasını isteyin. İstemci bir kimlik sunar ve sunucu bunu reddederse kalan iş sunucu tarafındadır. Sertifikayı Mac'te yeniden kurmak, kaç kez tekrarlanırsa tekrarlansın bu sonucu değiştirmez.