Mac IKEv2 ECDSA: qaysi sertifikat turi mijozga tegishli?
Mac'da IKEv2 sozlamalaridagi ECDSA256 mahalliy identifikatsiya sertifikatini tavsiflaydi, shlyuz yoki chiqaruvchining imzosini emas. Tanlashdan oldin har bir rolni o'qing.
macOS'da IKEv2 mijoz sozlamasidagi ECDSA tanlovi tor savolga javob beradi: qaysi sertifikat Mac identifikatsiyasini isbotlaydi. U shlyuz sertifikatini, mijoz sertifikatini chiqargan imzoni yoki tunnelning shifrlash taklifini tavsiflamaydi. Bu to'rt rolni bitta moslik savoli deb qarash aynan to'g'ri mahalliy sozlama server tomonidagi nomuvofiqlikda ayblanishiga olib keladi. Qaror kichik, ammo unga asos bo'ladigan dalillar aniq bo'lishi kerak.
Bu maydon bitta sertifikatni nomlaydi: mahalliy identifikatsiya
Apple'ning Network Extension API'si mijoz hisob ma'lumotlari uchun sertifikat turini taqdim etadi, jumladan NEVPNIKEv2CertificateType.ECDSA256, u ECDSA p-256 sertifikat turi sifatida hujjatlashtirilgan. Xususiyat identityReference yoki identityData orqali berilgan sertifikatga tegishli.
Demak, qaror Mac taqdim etadigan sertifikat va u bilan birga keladigan shaxsiy kalitga tegishli. Shu barg sertifikatning ochiq kalitiga mos turni tanlang va identifikatsiyani qo'llab-quvvatlanadigan mexanizm orqali bering. Agar Mac'da identifikatsiya uchun yaroqli shaxsiy kalit bo'lmasa, tur tanlovi ulanishni qutqara olmaydi.
Boshqariladigan profillar xuddi shu qarorni IKEv2 yuklamasining CertificateType maydoni orqali, PayloadCertificateUUID kabi sertifikat havolasi bilan birga qabul qiladi. Bu maydonlarning maqsadli OS versiyasi uchun oldindan shartlari va sxemasi bor; profilga ko'chirilgan yalang'och tur qiymati o'rnatilmaydi, sozlamalar oynasi esa har bir API variantini ko'rsatmasligi mumkin. Joylashtirishdan oldin o'sha versiya uchun yuklama oldindan shartlarini tekshiring.
Sertifikat yorlig'i bo'yicha emas, rol bo'yicha qaror qiling
O'zgartirmoqchi bo'lgan maydonni o'qing va u qaysi sertifikatga ishora qilishini so'rang. Sertifikat ko'ruvchisidagi yorliqlar subyekt, chiqaruvchi va imzo algoritmini aralashtiradi, ulardan faqat bittasi mijoz identifikatsiyasi tanloviga tegishli.
| What you inspected | What it controls | Does it choose the Mac certificate type? |
|---|---|---|
| Client leaf public key | The identity the Mac presents | Yes, this is the field's subject |
| Issuer signature algorithm | How the client certificate was signed | No |
| Gateway certificate | What the Mac validates as the peer | No, check it separately |
| IKE and ESP proposals | Algorithms for the tunnel | No, separate proposal settings |
Agar sertifikat ko'ruvchisi CA'dan ECDSA imzosini ko'rsatsa, bu chiqaruvchining imzolash kalitini tavsiflaydi. Mijozning o'z kaliti hali ham RSA bo'lishi mumkin va tur maydoni imzo satriga emas, mijoz kalitiga ergashishi kerak. Aynan shu bitta chalkashlik "ECDSA sozlangan, ammo ulanish muvaffaqiyatsiz" degan ko'plab xabarlarni tushuntiradi. Biror narsani o'zgartirishdan oldin bargdagi kalit turini profilda tanlangan tur bilan solishtiring.
Barg aniqlangach qaror soddalashadi: p-256 mijoz kaliti uchun ECDSA256, boshqa kalit uchun boshqa qo'llab-quvvatlanadigan tur. Agar mijoz sertifikati va uning kaliti mos kelmasa, VPN profilini o'zgartirishdan oldin shu juftlikni tuzating.
Shlyuz sertifikati alohida qaror
Shlyuz o'z sertifikatini taqdim etadi va Mac uni ishonch langari hamda kutilgan nom bilan tekshiradi. Bu sertifikat ECDSA, RSA yoki boshqa kalit turidan foydalanishi serverning xususiyati, mijoz identifikatsiyasi sozlamasining emas.
ECDSA mijoz sertifikatiga mahalliy yordam har bir shlyuz sertifikati, egri chizig'i yoki server autentifikatsiyasi konfiguratsiyasi o'zaro ishlashini isbotlamaydi. Server identifikatsiyasini, uning zanjirini va IKE autentifikatsiya usulini alohida kiritmalar sifatida tekshiring va haqiqatda joylashtiriladigan profil bilan sinab ko'ring.
Agar muammo shlyuz sertifikatida bo'lsa, belgi odatda identifikatsiya tanlovida emas, hamkor tekshiruvi paytida namoyon bo'ladi. Mijoz turini o'zgartirishdan oldin muvaffaqiyatsizlik bosqichini o'qing, chunki ishonch xatosi va mijoz kaliti nomuvofiqligi bir xil tuzatishga ega emas.
Chiqaruvchining imzosi va kalit kelishuvi guruhi mijoz turi emas
X.509 subyektning ochiq kalitini va chiqaruvchining imzosini alohida maydonlarda saqlaydi. Subyektning ochiq kalit ma'lumoti sertifikatdagi kalitni tavsiflaydi; imzo algoritmi CA kalitini va imzolash amalini tavsiflaydi. Sertifikat turi sozlamasiga faqat birinchisi mos keladi.
IKE va Child SA takliflari boshqa o'qdir. ECDSA sertifikat turi ESP shifrlash tanlovi emas va kalit kelishuvi guruhini o'zgartirish sertifikat turini tanlamaydi. Profilda haqiqiy takliflar va noto'g'ri identifikatsiya turi, yoki to'g'ri identifikatsiya turi va hamkor rad etadigan taklif bo'lishi mumkin.
O'zgarishlar jurnalida uchta satrni alohida saqlang: identifikatsiya sertifikati va kaliti, shlyuz ishonch kiritmalari va takliflar algoritmlari. Ularni bitta "kripto sozlamalar" eslatmasiga birlashtirish keyingi muvaffaqiyatsizlikni bog'lashni imkonsiz qiladi.
Qarorni sozlagan maydonlaringiz bilan tekshiring
Profil haqiqatda havola qiladigan identifikatsiyani tekshiring, so'ng o'sha havoladagi sertifikatda kutilgan ochiq kalit va yaroqli shaxsiy kalit borligini tasdiqlang. Interfeysda ko'rsatilgan tur, havola qilingan sertifikat va qurilmadagi kalit mos kelishi kerak.
So'ngra shlyuz kiritmalarini tasdiqlang: kutilgan server nomi, ishonch langari va IKE autentifikatsiya usuli. Nihoyat, ulanib, qo'l berib ko'rishish qayerda to'xtashini o'qing. Identifikatsiya almashinuvidan oldingi muvaffaqiyatsizlik bu sozlamadan uzoqqa ishora qiladi; hamkor tekshiruvidagi muvaffaqiyatsizlik shlyuz tomoniga ishora qiladi.
Tanlangan turni, identifikatsiya havolasini va shlyuz sertifikatining subyektini joylashtirish eslatmalariga yozib qo'ying. Keyingi profil yangilanishi ulardan birortasini o'zgartirishi mumkin va uchta nomlangan qiymatni taqqoslash sozlamalar panelining skrinshotidan tezroq.