Mac VPN سرٹیفکیٹ: گیٹ وے کون سا اکاؤنٹ دیکھتا ہے؟

پروفائل آپ کا نام دکھاتا ہے، سرٹیفکیٹ کا نظر آنے والا لیبل کچھ اور کہتا ہے، اور گیٹ وے کا لاگ تیسرا شناخت کنندہ درج کرتا ہے۔ ان میں سے کوئی جھوٹ نہیں بولتا، اور یہی مسئلہ ہے: تین مختلف فیلڈز کو اس طرح پڑھا جا رہا ہے جیسے وہ ایک ہی سوال کا جواب دے رہے ہوں۔ کنکشن ایک اسناد، ایک IKEv2 شناخت کنندہ اور ایک اکاؤنٹ پیش کرتا ہے، اور گیٹ وے فیصلہ کرتا ہے کہ ان میں سے کون کس کو اجازت دیتا ہے۔

ایک کنکشن میں تین شناختیں

نظر آنے والا پروفائل نام لوگوں کے لیے لیبل ہے۔ یہ ایک کنکشن منتخب کرتا ہے اور بس۔ سرٹیفکیٹ ایک اسناد ہے، اور یہ کچھ ثابت کر سکتا ہے یا نہیں، اس کا انحصار اس بات پر ہے کہ کلائنٹ کے پاس مماثل نجی کلید ہے یا نہیں۔ اکاؤنٹ فیلڈ اصل شخص کے بارے میں ایک دعویٰ ہے، اور سرور اسے کسی اور مقامی شناخت پر میپ کرنے میں آزاد ہے۔

جب تصدیق ناکام ہو، تو پوچھیں کہ خرابی تینوں میں سے کس سے متعلق ہے۔ مسترد شدہ اسناد، نامعلوم شناخت کنندہ اور غیر فعال اکاؤنٹ مختلف پیغامات پیدا کرتے ہیں، اور ان سب کو ایک ہی «سرٹیفکیٹ مسئلہ» سمجھنا آپ کو غلط کنسول تک پہنچا دیتا ہے۔

اصل فیلڈز کو ان کے کام کے مطابق پڑھیں

منظم اصل IKEv2 ترتیب میں، Apple کا پے لوڈ حوالہ اقدار کو الگ کرتا ہے، اور تصدیق کا طریقہ فیصلہ کرتا ہے کہ کون سا امتزاج درکار ہے:

ایک سرٹیفکیٹ اور ایک EAP لاگ ان ایک ہی کنکشن میں مختلف کردار رکھ سکتے ہیں۔ صرف اس لیے کہ ان میں سے ایک ایسا کرتا ہے، ہر فیلڈ کو وہی متن رکھنے پر مجبور نہ کریں، اور یہ نہ سمجھیں کہ ایک بدلنے سے باقی منسوخ ہو جاتے ہیں۔ کسی تیسرے فریق کی VPN ایپ بالکل مختلف ماڈل دکھا سکتی ہے؛ اصل فیلڈ نام وہاں لے جانے کے بجائے اس کی دستاویزی شناخت کے انتخاب کو استعمال کریں۔

سرور سرٹیفکیٹ کلائنٹ شناخت نہیں ہے

گیٹ وے کی تصدیق کرنے والا سرٹیفکیٹ اعتماد کا لنگر ہے۔ یہ ثابت کرتا ہے کہ آپ اس سرور تک پہنچے جس کی توقع تھی۔ کلائنٹ شناخت ایک مختلف چیز ہے: اس میں اس نجی کلید تک رسائی شامل ہے جو ثابت کرتی ہے کہ جڑنے والا فریق وہی ہے جس کا وہ دعویٰ کرتا ہے۔ نظر آنے والے اکاؤنٹ کا نام بدلنا ایک کو دوسرا نہیں بنا سکتا۔

یہاں نیک نیتی سے کی گئی اصلاح غلط ہو جاتی ہے۔ گیٹ وے کا CA سرٹیفکیٹ کلائنٹ اسٹور میں درآمد کرنا کلائنٹ کی تصدیق کے لیے کچھ نہیں کرتا، اور اس اندراج پر صارف کا نام لگانا اسے صارف کی شناخت نہیں بناتا۔ دونوں چیزیں پروفائل کے مختلف حصوں میں رہتی ہیں اور مختلف سوالات کے جواب دیتی ہیں۔

اصل شخص سے گیٹ وے کی میپنگ تک جائیں

تصدیق کریں کہ اسناد کس کے لیے جاری کی گئیں: اس صارف، اس ڈیوائس یا کسی مشترکہ کردار کے لیے۔ Mac لاگ ان اکاؤنٹ خود بخود وہ اصل شخص نہیں ہوتا، اور کسی دوسری مشین سے کاپی کیا گیا سرٹیفکیٹ اسی مشین کی شناخت برقرار رکھتا ہے جس کے لیے وہ جاری ہوا تھا۔

پھر لیبل نہیں، اصل اسناد کا موازنہ کریں۔ جاری کنندہ، سیریل نمبر اور فنگر پرنٹ آپ کو اور منتظم کو یہ تصدیق کرنے دیتے ہیں کہ آپ ایک ہی چیز کے بارے میں بات کر رہے ہیں۔ دکھائے جانے والے نام قابل ترمیم ہوتے ہیں اور اکثر دہرائے جاتے ہیں، جو واقعے کے دوران انہیں بدترین ممکن شناخت کنندہ بنا دیتا ہے۔

آخری مرحلہ گیٹ وے پر ہے۔ اس کے مالک سے کہیں کہ ایک کنکشن کو پیش کردہ شناخت کنندگان اور انہیں استعمال کرنے والے اکاؤنٹ میپنگ قاعدے کے ساتھ منسلک کرے۔ کلائنٹ کی طرف کا لیبل یہ قائم نہیں کر سکتا کہ سرور نے کیا فیصلہ کیا، اور جو قاعدہ سرٹیفکیٹ کو غیر فعال اکاؤنٹ پر میپ کرتا ہے وہ ناکام ہوگا جبکہ کلائنٹ کے تمام فیلڈز درست دکھائی دیتے ہیں۔

اس عدم مطابقت کا مالک طبقہ درست کریں

اگر پروفائل غلط اسناد کی طرف اشارہ کرتا ہے، تو اس کا حوالہ یا انتخاب درست کریں۔ اگر اسناد کسی دوسرے اصل شخص کی ہیں، تو لیبل ترمیم کرنے کے بجائے جاری کنندہ کی دوبارہ رجسٹریشن سے گزریں۔ اگر گیٹ وے درست اسناد کو غلط اکاؤنٹ سے باندھتا ہے، تو اس کے پالیسی مالک کو میپنگ درست کرنی ہوگی۔ یہ تین مختلف تبدیلیاں ہیں، تین مختلف منظوری دینے والوں کے ساتھ۔

تجدید بھی اسی توجہ کی مستحق ہے۔ سرٹیفکیٹ بدلنا، اس کے نظر آنے والے لیبل کا نام بدلنا اور کسی شخص کو اکاؤنٹ نظاموں کے درمیان منتقل کرنا میپنگ پر لازماً ایک ہی طرح اثر نہیں ڈالتا۔ لکھیں کہ تینوں میں سے آپ نے کیا بدلا، کیونکہ اگلی ناکامی کلائنٹ کی طرف سے یکساں اور گیٹ وے لاگ میں مختلف نظر آئے گی۔

صرف وہ کم سے کم عوامی شناخت کنندگان شیئر کریں جن کی معاونت کو ضرورت ہے۔ نجی کلید یا مکمل شناخت بنڈل کبھی اس تبادلے کا حصہ نہیں ہوتا، چاہے اس سے تشخیص کتنی ہی آسان ہو جائے۔