Documentation Index

Fetch the complete documentation index at: https://knowledge.catonetworks.com/llms.txt

Use this file to discover all available pages before exploring further.

设备证书故障排除

  • 更新于 Jul 30, 2026
  • 发布于 Jul 7, 2026
  • 1 分钟阅读
Prev Next

概概览

在为Cato客户端配置设备认证时，可能会出现与证书相关的问题。本文涵盖基本的设备证书故障排除。 有关此功能的更多信息，请参见控制认证企业设备。

故障排查

以下是调查设备证书问题时可以采取的故障排除步骤。

  1. 如在使用客户端连接策略管理设备认证需求中所述，每个操作系统配置的设备证书应使用客户端连接策略进行配置。

    在设备姿态下，您可以为安装在最终用户设备上的证书创建设备检查（支持这些客户端版本）。 检查会验证设备上安装的证书是否与为账户定义的任一签名证书匹配。 有关更多信息，请参见创建设备证书检查

  2. 所有上传到CMA的CA证书都在访问 -> 客户端访问 -> 设备认证下列出。 这些是签署设备证书的证书颁发机构证书。 点击"显示详情"图标，可以以可读的形式列出证书详情。
    devauth2.png

  3. 确认CA证书未过期非常重要。 如果是这样，PoP仅当证书授权在设备证书过期之前签署了证书时才允许连接。 对于设备证书，Cato不允许客户端使用过期证书进行连接。 有关更多信息，请参见处理过期证书

  4. 确保将必要的CA证书上传到CMA的一种方法是查看客户端证书链（认证路径）。 在此示例中，客户端证书由“CN= Issuing CA Client”中间证书签署，而中间证书则由“CN= Root CA”根证书签署。这些必须匹配安装在CMA中的证书。

    cert-chain__1_.png

  5. 根据RFC3280，客户端证书的权威密钥标识符必须与发行人的主题密钥标识符相匹配（在这种情况下为中间证书）。 这是确认正确的中间和根CA证书上传到CMA的另一种方法。key_identifier__1_.png

  6. 在确认配置无误且证书有效后，我们将核实证书是否存在于客户端的操作系统中。

注意：有关证书分发的更多信息，请参见分发和安装设备证书

Windows:

在Windows中，设备证书必须安装在本地计算机而非当前用户下。 有两种方法可以验证设备证书的存在：

  • 打开命令提示符并输入certutil -store My 以列出设备上的所有可用用户证书。 在下面的示例中，第一个证书发行人的主题与步骤2中安装的CA证书的主题相匹配。 如果不是这种情况，客户端设备上就没有必要的证书。Certutil 是一个非常强大的工具，可以用来列出、撤销或更新证书。 您可以在这里找到有关该工具的更多信息。

  • certutil也可用于通过运行以下命令在设备上安装PFX (p12)证书文件。 这是安装证书到Windows设备上的推荐方法，详见将设备证书分发到Windows设备。

    /certutil -csp "Microsoft Software Key Storage Provider" -importpfx My <path-to-p12-file> NoExport

  • 另外，您可以通过在Windows开始菜单中键入certlm.msc来验证设备上安装的证书。 这将显示本地计算机上安装的所有证书。 设备证书必须安装在本地计算机的个人/证书文件夹下，并包含PFX文件应已安装的私钥。

MacOS和iOS：

任何iOS版本：

验证iOS设备是否包含先前通过MDM或Apple Configurator分发的配置文件。 该配置文件可在通用>VPN&设备管理>iOS18的配置文件中找到。 要在旧版iOS中查找配置文件，请参阅iOS用户指南。

确保VPN配置文件配置正确。 根据设备类型（macOS或iOS），VPN负载必须进行配置：

  • 连接类型: 自定义SSL

  • 标识符:

    • 对于macOS： com.catonetworks.mac.CatoClient 

    • 对于iOS： CatoNetworks.CatoVPN 

  • 服务器: vpn.catonetworks.net

  • 账户: 添加您的账户名称。 例如： CatoNetworksAccount。

    • 对于iOS客户端v5.6及以上版本：将账户设置为“CatoClientVPN”。

  • 提供商标识符:

    • 对于macOS: com.catonetworks.mac.CatoClient.CatoClientSysExtension

    • 用于iOS：  CatoNetworks.CatoVPN.CatoVPNNEExtenstion 

  • 提供商指定要求: 空

  • 用户认证: 证书

  • 提供商类型: 数据包隧道

  • 凭证: 从‘证书’负载中选择证书

  • 代理设置: 无

有关VPN配置文件的详细信息，请参阅将设备证书分发到macOS和iOS设备。

macOS v5.5及以上:

从macOS客户端v5.5开始，证书可以直接安装在设备上，无需MDM分发。 证书和私钥可以在钥匙串访问中找到。

设备证书可以按照设备证书分发中所述的方式分发到macOS设备，并使用Windows企业CA通过Microsoft Active Directory分发。 参见: 如何独立于配置管理器为Mac计算机创建和部署客户端证书 

用户证书可以在钥匙串访问的登录部分找到:

  • 确保证书设置为“始终信任”。

  • 确保私钥的访问控制设置允许Cato客户端或“允许所有应用程序访问此项”。

OID验证

  OID验证已在账户的高级配置中配置。 配置指定证书扩展（OID）以验证并接受一个或多个值。 

  默认情况下，OID验证是已禁用的。 您可以使用文章账户高级配置操作指南中描述的格式来配置OID验证。   以下示例验证证书包含证书模板信息扩展 (1.3.6.1.4.1.311.21.7)，并接受以下两个值之一：

  cert_ext_obj(cert, "1.3.6.1.4.1.311.21.7") == "1.3.6.1.4.1.67291.458.7;1.3.6.1.4.1.58472.73142.918.5"

  在客户端，验证客户端证书中存在所需的OID：

  •     在Windows上，Windows证书管理器将显示证书详细信息以确认所需的OID扩展存在并包含预期值之一。 “certutil -v -store My”命令还将提供有关证书的详细信息，包括其OID值。  

  •     在macOS上，可使用钥匙串访问或适当的证书检查工具查看证书扩展。  

  以下certutil输出显示证书扩展OID及其关联的模板信息： 

1.3.6.1.4.1.311.21.7: Flags = 0, Length = 30

    Certificate Template Information

        Template=1.3.6.1.4.1.58472.73142.918.5

        Major Version Number=100

        Minor Version Number=36