Mac VPN sertifikati: nima uchun identifikatsiya tanlagichi bo'sh qoladi
Mijozga sertifikat va uning shaxsiy kaliti kerak, u o'qiydigan omborda. Avval identifikatsiyani tekshiring, so'ngra shlyuz uni qabul qiladimi-yo'qmi, buni ko'ring.
Siz sertifikatni o'rnatdingiz, u Keychain Access'da qulay nom bilan ko'rinadi, lekin VPN mijozining identifikatsiya tanlagichi hali ham bo'sh. Mijoz sertifikat qidirmayapti. U identifikatsiya qidirmoqda: egalikni isbotlay oladigan shaxsiy kalit bilan juftlangan sertifikat, mijoz o'qishga ruxsat berilgan joyda saqlangan.
Mijoz so'rayotgan narsa identifikatsiya
Apple xavfsizlik tizimi sertifikat va identifikatsiyani turli obyektlar deb qaraydi. Sertifikat ochiq ma'lumot. Identifikatsiya — bu o'sha sertifikat va uning shaxsiy kaliti, va faqat identifikatsiya chaqiriqni yakunlay oladi. Ishonchli CA sertifikati esa mijozga emitentni baholash imkonini beradi; u mashinani berilgan mijoz hisob ma'lumotlarining egasiga aylantirmaydi.
| Item | What it can do | What it cannot do |
|---|---|---|
| CA or server certificate | Validate the gateway's chain | Authenticate this client |
| Client certificate without key | Nothing for authentication | Prove possession of anything |
| Identity (cert plus key) | Answer the authentication challenge | Guarantee the gateway accepts it |
Shuning uchun .cer faylini import qilish hech qachon foydalanish mumkin bo'lgan mijoz identifikatsiyasini yaratmaydi. Faylda faqat ochiq material bor, va uni qanday nomlasangiz ham, ishonsangiz ham u kalit juftiga aylanmaydi.
Tanlagich bo'sh qolishining uchta sababi
Birinchisi — shaxsiy kalitning yo'qligi, ya'ni ro'yxatga olish yoki import jarayoni uni bermagan. Ikkinchisi — mijoz murojaat qilmaydigan ombor: foydalanuvchi doirasidagi profil foydalanuvchining kalitlar bog'lamida qidiradi, tizim omboriga qo'yilgan element esa unga ko'rinmasligi mumkin. Uchinchisi — maqsad yoki siyosat nomuvofiqligi, bunda sertifikat mavjud, lekin joylashtirish qoidalariga ko'ra mijoz autentifikatsiyasi uchun haqiqiy emas.
security find-identity -v -p ssl-clientBu tizim mijoz autentifikatsiyasi uchun haqiqiy deb hisoblaydigan identifikatsiyalarni sanaydi. Agar son nolga teng bo'lsa, muammo VPN mijozidan yuqorida va profilni tahrirlash uni tuzatmaydi. Agar identifikatsiya bu yerda ko'rinib, mijozda ko'rinmasa, farq mijozning ombori yoki doirasida.
Shaxsiy kalit qayerda yashaydi va uni kim ishlatishi mumkin
Keychain Access orqali identifikatsiyani import qilganingizda, import muloqot oynasi maqsadli kalitlar bog'lamini taklif qiladi. Qaysi maqsad to'g'ri ekani mijozga va profil foydalanuvchi yoki qurilma doirasida ekaniga bog'liq. Tizim kalitlar bog'lamini tavsiya qiladigan eski javob umumiy qoida emas, va omborlar orasida elementlarni nusxalash tuzatish emas.
System Roots — bu ishonch to'plami. U yerga sertifikat qo'yish tizim qaysi emitentlarga ishonishini o'zgartiradi; u shaxsiy kalit yaratmaydi va identifikatsiya ombori emas. Tanlagichni to'ldirish uchun aloqasiz sertifikatlarni ko'chirish mashinani doimiy kengaytirilgan ishonch to'plami bilan qoldiradigan tuzatish turidir.
Shaxsiy kalitga kirish alohida nazorat. Har bir ilovaga kalitdan foydalanishga ruxsat berish bitta mijozning tanlov muammosini hal qiladi va xuddi shu qobiliyatni mashinadagi qolgan hamma narsaga beradi. Uni kerak bo'lgan mijozga bering va kalit apparat tomonidan qo'llab-quvvatlanadimi yoki eksport qilib bo'lmaydigan deb belgilanganmi, shuni tekshiring; agar shunday bo'lsa, eksport qilingan nusxa o'rniga qo'llab-quvvatlanadigan provayderdan foydalanish kerak.
Profil hisob ma'lumotlariga qanday ishora qiladi
Boshqariladigan mahalliy IKEv2 konfiguratsiyasida profil PayloadCertificateUUID orqali o'z hisob ma'lumotlari yuklamasiga murojaat qiladi. Muhimi — havola qilingan identifikatsiya va uning qanday taqdim etilgani; profildagi ko'rsatiladigan nomni tahrirlash noto'g'ri yuklamaga yoki hech qachon kalit bermagan yuklamaga ishora qiluvchi havolani tuzatmaydi.
Uchinchi tomon provayderi butunlay boshqa tanlov mexanizmidan foydalanishi mumkin, masalan o'z ombori yoki tizim so'rovi. Mahalliy profil taxminlarini ko'chirish o'rniga o'sha provayder hujjatlarini o'qing va havolani haqiqatda o'rnatilgan profilda tekshiring, boshqaruv konsolidagi qoralamada emas.
Tanlov va qabul qilish alohida bosqichlar
To'ldirilgan tanlagich mijoz identifikatsiyani topib ishlata olishini bildiradi. Bu shlyuz uni qabul qiladimi-yo'qmi, bu haqda hech narsa demaydi. Server hali ham emitentni, amal qilish oynasini, bekor qilish holatini tekshiradi, hamda o'sha hisob ma'lumotlarining hisobga moslashtirilishini.
Ikkala bosqichni ham ochiq, shu tartibda sinab ko'ring. Identifikatsiya taklif qilinishini tasdiqlang, ulanib, so'ngra shlyuz egasidan qaysi hisob ma'lumoti taqdim etilgani va qaysi moslashtirish qoidasi uni ishlatganini tasdiqlashni so'rang. Agar mijoz identifikatsiya taklif qilib, server uni rad etsa, qolgan ish server tomonida. Mac'da sertifikatni qayta o'rnatish bu natijani o'zgartirmaydi, necha marta takrorlansa ham.