Chứng chỉ VPN trên Mac: cổng nhìn thấy tài khoản nào?

Hồ sơ hiển thị tên của bạn, nhãn hiển thị của chứng chỉ nói điều khác, và nhật ký của cổng ghi lại một định danh thứ ba. Không cái nào nói dối, và đó chính là vấn đề: ba trường khác nhau đang được đọc như thể chúng trả lời một câu hỏi. Kết nối trình bày một thông tin xác thực, một định danh IKEv2 và một tài khoản, và cổng quyết định cái nào cho phép cái gì.

Ba danh tính trong một kết nối

Tên hồ sơ hiển thị là nhãn dành cho con người. Nó chọn một kết nối và không gì khác. Chứng chỉ là thông tin xác thực, và việc nó có thể chứng minh điều gì phụ thuộc vào việc ứng dụng khách có khóa riêng tương ứng hay không. Trường tài khoản là một khẳng định về chủ thể chính, và máy chủ được tự do ánh xạ nó sang một danh tính cục bộ khác.

Khi xác thực thất bại, hãy hỏi lỗi liên quan đến trường nào trong ba trường. Thông tin xác thực bị từ chối, định danh không xác định và tài khoản bị vô hiệu hóa tạo ra các thông báo khác nhau, và việc coi tất cả là một «vấn đề chứng chỉ» sẽ đưa bạn đến sai bảng điều khiển.

Đọc các trường gốc theo chức năng của chúng

Trong cấu hình IKEv2 gốc được quản lý, tham chiếu tải trọng của Apple tách các giá trị, và phương thức xác thực quyết định tổ hợp nào là cần thiết:

Chứng chỉ và đăng nhập EAP có thể có vai trò khác nhau trong cùng một kết nối. Đừng buộc mọi trường phải chứa cùng một văn bản chỉ vì một trong số chúng làm vậy, và đừng cho rằng thay đổi một trường sẽ vô hiệu hóa các trường khác. Một ứng dụng VPN của bên thứ ba có thể hiển thị mô hình hoàn toàn khác; hãy dùng cách chọn danh tính đã được ghi chép của nó thay vì mang tên trường gốc vào đó.

Chứng chỉ máy chủ không phải danh tính ứng dụng khách

Chứng chỉ xác thực cổng là mỏ neo tin cậy. Nó chứng minh rằng bạn đã đến đúng máy chủ mong đợi. Danh tính ứng dụng khách là một đối tượng khác: nó bao gồm quyền truy cập vào khóa riêng chứng minh bên kết nối đúng là bên mà nó tuyên bố. Đổi tên một tài khoản hiển thị không thể biến cái này thành cái kia.

Đây là nơi một sửa chữa thiện ý đi sai. Nhập chứng chỉ CA của cổng vào kho của ứng dụng khách không giúp gì cho việc xác thực ứng dụng khách, và dán tên người dùng lên mục đó không biến nó thành danh tính người dùng. Hai đối tượng sống ở các phần khác nhau của hồ sơ và trả lời những câu hỏi khác nhau.

Lần theo chủ thể chính đến ánh xạ của cổng

Xác nhận thông tin xác thực được cấp cho ai: người dùng này, thiết bị này hay một vai trò dùng chung. Tài khoản đăng nhập Mac không tự động là chủ thể đó, và chứng chỉ sao chép từ máy khác vẫn giữ danh tính của máy mà nó được cấp cho.

Sau đó so sánh thông tin xác thực thực tế, không phải nhãn. Nhà phát hành, số sê-ri và dấu vân tay cho phép bạn và quản trị viên xác nhận rằng đang nói về cùng một đối tượng. Tên hiển thị có thể chỉnh sửa và thường bị trùng lặp, khiến chúng trở thành định danh tồi tệ nhất có thể trong một sự cố.

Bước cuối cùng nằm ở cổng. Yêu cầu chủ sở hữu của nó đối chiếu một kết nối với các định danh đã trình bày và với quy tắc ánh xạ tài khoản đã dùng chúng. Nhãn ở phía ứng dụng khách không thể xác định máy chủ đã quyết định gì, và quy tắc ánh xạ chứng chỉ sang tài khoản bị vô hiệu hóa sẽ thất bại trong khi mọi trường ở phía ứng dụng khách trông đúng.

Sửa lớp sở hữu sự không khớp này

Nếu hồ sơ trỏ đến sai thông tin xác thực, hãy sửa tham chiếu hoặc lựa chọn của nó. Nếu thông tin xác thực thuộc về chủ thể khác, hãy đi qua bước đăng ký lại của nhà phát hành thay vì sửa nhãn. Nếu cổng gắn thông tin xác thực hợp lệ với sai tài khoản, chủ sở hữu chính sách phải sửa ánh xạ. Đó là ba thay đổi khác nhau với ba người phê duyệt khác nhau.

Gia hạn cũng cần sự cẩn trọng như vậy. Việc thay chứng chỉ, đổi tên nhãn hiển thị của nó và chuyển một người giữa các hệ thống tài khoản không nhất thiết ảnh hưởng đến ánh xạ theo cùng một cách. Ghi lại bạn đã thay đổi mục nào trong ba mục, vì sự cố tiếp theo sẽ trông giống nhau từ phía ứng dụng khách và khác trong nhật ký của cổng.

Chỉ chia sẻ những định danh công khai tối thiểu mà bộ phận hỗ trợ cần. Khóa riêng hoặc gói danh tính đầy đủ không bao giờ là một phần của trao đổi đó, dù việc chẩn đoán có thuận tiện đến đâu.