AWS Client VPN: bediener-sertifikaat teenoor die rol van die kliënt-sertifikaat
Die eindpunt se bediener-sertifikaat bewys die diens. Wederkerige verifikasie voeg identiteite per kliënt en CA-vertroue by sonder om die bediener se sleutel te deel.
'n Client VPN-eindpunt benodig altyd 'n TLS-bediener-sertifikaat. Dit is die identiteit wat die bestuurde eindpunt voorhou wanneer 'n kliënt konnekteer. Dit is 'n ander objek as die sertifikate wat individuele kliënte voorhou wanneer wederkerige verifikasie gebruik word. Om die twee te verwar is die mees algemene rede waarom 'n andersins korrekte ACM-opstelling steeds by die eerste verbinding misluk.
Hier is 'n deurloop van die konsole uitwaarts, in die volgorde wat 'n verbinding werklik deurloop.
Twee rolle, een eindpunt
Die eindpunt besit 'n bediener-identiteit en, opsioneel, 'n manier om kliënt-identiteite te verifieer. Dié word afsonderlik opgestel. Een besluit of die kliënt die diens kan vertrou; die ander besluit of die diens die kliënt aanvaar.
| Material | Purpose | Where it lives |
|---|---|---|
| Server certificate and private key | The managed endpoint proves its TLS identity | ACM, in the endpoint's Region |
| Client certificate and matching key | An individual client proves its identity | On the device |
| CA trust material | The verifier checks the issuer chain | Selected for the client role |
Lees die tabel as drie onafhanklike vereistes eerder as as een sertifikaat. Die bediener-sertifikaat en sy private sleutel bly by die diens. 'n Kliënt-sertifikaat en sy ooreenstemmende private sleutel woon op die toestel. Die CA-materiaal is wat 'n verifieerder gebruik om die ketting te kontroleer. Net die middelste ry hoort ooit op 'n skootrekenaar.
Wat die ACM-bediener-sertifikaat doen
Wanneer jy die eindpunt skep, moet die bediener-sertifikaat in ACM beskikbaar wees in dieselfde streek as die eindpunt. Die konsole vra vir 'n ARN, en daardie ARN moet daar oplos. ACM kan 'n sertifikaat hou wat jy met domeinverifikasie voorsien het, of een wat jy saam met sy sleutel en ketting ingevoer het. Beide werk in hierdie rol; hulle verskil in hernuwing en in wie die private sleutel hou.
Kies die voorsieningspad wat pas by wie die sertifikaat kan hernu, nie die een wat toevallig 'n geldig-voorkomende lêer opgelewer het nie.
Wat wederkerige verifikasie byvoeg
Om sertifikaat-gebaseerde kliënt-verifikasie te kies, voeg 'n tweede vraag by: watter kliënte mag hoegenaamd konnekteer. Elke kliënt hou sy eie sertifikaat voor en bewys besit van die ooreenstemmende private sleutel. Afsonderlike identiteite is wat selektiewe herroeping later moontlik maak. Om een kliënt-sleutel op elke toestel te kopieer, laat daardie eienskap stilletjies vaar, selfs wanneer die bediener-sertifikaat perfek verkry is.
Die eindpunt se verifikasiemetode is 'n keuse, nie 'n universele vereiste nie.
Active Directory en gefedereerde verifikasie beantwoord dieselfde vraag op ander maniere. 'n Wederkerige-sertifikaat-resep is nie outomaties die aanmeldontwerp vir daardie ontplooiings nie, en bediener-TLS-verifikasie bly in plek ongeag hoe die gebruiker toegelaat word.
Waarom dieselfde CA-ARN nie sleuteldeling is nie
AWS dokumenteer dat wanneer die bediener- en kliënt-sertifikate deur dieselfde CA uitgereik word, die bediener-sertifikaat-ARN ook vir die kliënt-sertifikaat-keuse gebruik kan word. Daardie sin gaan oor watter ketting die eindpunt vir verifikasie vertrou. Dit sê nie vir kliënte om die bediener se private sleutel te gebruik nie. 'n Skootrekenaar het steeds sy eie kliënt-sertifikaat en sy eie ooreenstemmende sleutel nodig.
Wanneer die kliënt-CA 'n ander uitreiker is, is die gedokumenteerde pad om daardie CA in ACM in te voer en dit vir die kliëntrol te kies.
Volg die mislukking terug na 'n stadium
Identifiseer watter stadium misluk voordat jy enigiets vervang. As die kliënt die eindpunt verwerp, is die bediener-ARN of sy ketting die verdagte. As die eindpunt die kliënt verwerp, kyk na die kliënt-sertifikaat, sy uitreiker en die gekose verifikasiemetode. As die tonnel opkom en verkeer steeds misluk, is jy heeltemal verby sertifikate.
Vervang een objek op 'n slag, want om beide kante gelyktydig te ruil, reproduseer die dubbelsinnigheid waarmee jy begin het.
Kontroleer ook die diens se ondersteunde sleutelalgoritmes en vereiste uitbreidings vir die spesifieke rol. 'n Sertifikaat wat 'n publieke webwerf bevredig, is nie bewys dat elke Client VPN-identiteitsvereiste nagekom is nie.
Skryf neer watter ARN elke veld hou, watter CA die kliënt-sertifikaat uitgereik het, en watter verifikasiemetode die eindpunt werklik gebruik. Drie reëls rekord maak die volgende hernuwing 'n taak in plaas van 'n ondersoek.