Mac IKEv2 ECDSA: loại chứng chỉ nào thuộc về máy khách?
Trên Mac, ECDSA256 trong cài đặt IKEv2 mô tả chứng chỉ nhận dạng cục bộ, không phải cổng hay chữ ký của nhà phát hành. Hãy đọc từng vai trò trước khi chọn.
Trên macOS, lựa chọn ECDSA trong cài đặt máy khách IKEv2 trả lời một câu hỏi hẹp: chứng chỉ nào chứng minh nhận dạng của Mac. Nó không mô tả chứng chỉ của cổng, chữ ký đã phát hành chứng chỉ máy khách, hay đề xuất mã hóa cho đường hầm. Coi bốn vai trò đó là một câu hỏi tương thích duy nhất chính là cách một cấu hình cục bộ đúng lại bị đổ lỗi cho sự không khớp phía máy chủ. Quyết định này nhỏ, nhưng bằng chứng dùng để đưa ra nó phải chính xác.
Trường này nêu tên một chứng chỉ: nhận dạng cục bộ
Network Extension API của Apple cung cấp một loại chứng chỉ cho thông tin xác thực của máy khách, bao gồm NEVPNIKEv2CertificateType.ECDSA256, được ghi nhận là loại chứng chỉ ECDSA p-256. Thuộc tính này áp dụng cho chứng chỉ được cung cấp qua identityReference hoặc identityData.
Điều đó có nghĩa là quyết định liên quan đến chứng chỉ mà Mac trình bày, cùng với khóa riêng đi kèm. Chọn loại khớp với khóa công khai của chứng chỉ lá đó và cung cấp nhận dạng thông qua cơ chế được hỗ trợ. Nếu Mac không có khóa riêng dùng được cho nhận dạng, việc chọn loại không thể cứu kết nối.
Các cấu hình được quản lý đưa ra quyết định tương tự thông qua CertificateType của tải trọng IKEv2, đi cùng một tham chiếu chứng chỉ như PayloadCertificateUUID. Những trường này có điều kiện tiên quyết và lược đồ cho phiên bản hệ điều hành đích; một giá trị loại trần được sao chép vào cấu hình không thể cài đặt, và cửa sổ cài đặt có thể không hiển thị mọi tùy chọn API. Hãy kiểm tra điều kiện tiên quyết của tải trọng cho phiên bản đó trước khi triển khai.
Quyết định theo vai trò, không theo nhãn của chứng chỉ
Đọc trường bạn sắp thay đổi và hỏi nó trỏ tới chứng chỉ nào. Các nhãn trong trình xem chứng chỉ trộn lẫn chủ thể, nhà phát hành và thuật toán chữ ký, và chỉ một trong số đó thuộc về việc chọn nhận dạng máy khách.
| What you inspected | What it controls | Does it choose the Mac certificate type? |
|---|---|---|
| Client leaf public key | The identity the Mac presents | Yes, this is the field's subject |
| Issuer signature algorithm | How the client certificate was signed | No |
| Gateway certificate | What the Mac validates as the peer | No, check it separately |
| IKE and ESP proposals | Algorithms for the tunnel | No, separate proposal settings |
Nếu trình xem chứng chỉ hiển thị chữ ký ECDSA từ CA, điều đó mô tả khóa ký của nhà phát hành. Khóa của chính máy khách vẫn có thể là RSA, và trường loại phải theo khóa của máy khách chứ không phải dòng chữ ký. Sự nhầm lẫn duy nhất này giải thích nhiều báo cáo "ECDSA đã được cấu hình nhưng kết nối thất bại". Hãy so sánh loại khóa trong chứng chỉ lá với loại đã chọn trong cấu hình trước khi thay đổi bất cứ điều gì.
Quyết định trở nên đơn giản hơn khi đã xác định được chứng chỉ lá: ECDSA256 cho khóa máy khách p-256, một loại được hỗ trợ khác cho khóa khác. Nếu chứng chỉ máy khách và khóa của nó không khớp, hãy sửa cặp đó trước khi thay đổi cấu hình VPN.
Chứng chỉ của cổng là một quyết định riêng
Cổng trình bày chứng chỉ của riêng nó và Mac xác thực chứng chỉ đó dựa trên neo tin cậy và tên mong đợi. Việc chứng chỉ đó dùng ECDSA, RSA hay loại khóa khác là thuộc tính của máy chủ, không phải của cài đặt nhận dạng máy khách.
Hỗ trợ cục bộ cho chứng chỉ máy khách ECDSA không chứng minh rằng mọi chứng chỉ cổng, đường cong hay cấu hình xác thực máy chủ sẽ tương tác được. Hãy kiểm tra nhận dạng của máy chủ, chuỗi của nó và phương thức xác thực IKE như những đầu vào riêng biệt, và thử nghiệm với cấu hình thực sự sẽ được triển khai.
Nếu chứng chỉ của cổng là vấn đề, triệu chứng thường xuất hiện khi xác thực đối tác chứ không phải khi chọn nhận dạng. Đọc giai đoạn thất bại trước khi thay đổi loại máy khách, vì lỗi tin cậy và sự không khớp khóa máy khách không dùng chung một cách sửa.
Chữ ký của nhà phát hành và nhóm thỏa thuận khóa không phải loại của máy khách
X.509 giữ khóa công khai của chủ thể và chữ ký của nhà phát hành ở các trường khác nhau. Thông tin khóa công khai của chủ thể mô tả khóa trong chứng chỉ; thuật toán chữ ký mô tả khóa của CA và thao tác ký. Chỉ trường đầu tiên khớp với cài đặt loại chứng chỉ.
Các đề xuất IKE và Child SA là một trục khác. Loại chứng chỉ ECDSA không phải lựa chọn mã hóa ESP, và việc thay đổi nhóm thỏa thuận khóa không chọn loại chứng chỉ. Một cấu hình có thể có đề xuất hợp lệ và sai loại nhận dạng, hoặc đúng loại nhận dạng và một đề xuất mà đối tác từ chối.
Giữ ba dòng tách biệt trong bản ghi thay đổi: chứng chỉ và khóa nhận dạng, đầu vào tin cậy của cổng, và thuật toán của các đề xuất. Gộp chúng vào một ghi chú "cài đặt mã hóa" khiến lần thất bại tiếp theo không thể quy trách nhiệm.
Kiểm tra quyết định bằng các trường bạn đã cấu hình
Kiểm tra nhận dạng mà cấu hình thực sự tham chiếu, sau đó xác nhận rằng chứng chỉ tại tham chiếu đó có khóa công khai mong đợi và khóa riêng dùng được. Loại hiển thị trong giao diện, chứng chỉ được tham chiếu và khóa trên thiết bị phải khớp nhau.
Tiếp theo xác nhận các đầu vào của cổng: tên máy chủ mong đợi, neo tin cậy và phương thức xác thực IKE. Cuối cùng, kết nối và đọc xem quá trình bắt tay dừng ở đâu. Thất bại trước khi trao đổi nhận dạng chỉ ra xa khỏi cài đặt này; thất bại khi xác thực đối tác chỉ về phía cổng.
Ghi lại loại đã chọn, tham chiếu nhận dạng và chủ thể của chứng chỉ cổng trong ghi chú triển khai. Bản cập nhật cấu hình tiếp theo có thể thay đổi bất kỳ mục nào trong số đó, và ba giá trị có tên so sánh nhanh hơn ảnh chụp màn hình của bảng cài đặt.