Watter CA-lêer hoort in 'n OpenVPN-profiel met slegs 'n wagwoord?

Werk in volgorde deur vier vrae, dan is die CA-dialoog nie meer dubbelsinnig nie. Watter materiaal het die operateur werklik uitgereik, wat bevat die profiel reeds, watter veld vra dit, en wat gebeur nadat die lêer gelaai is? Stop by die eerste vraag wat jy nie uit die operateur se eie instruksies kan beantwoord nie, want om verby dit te raai, is hoe 'n openbare CA-sertifikaat met 'n privaat sleutel gepaar word wat nooit die bediener moes verlaat het nie.

Die volgorde maak saak: die laaste twee vrae maak net sin sodra jy weet watter materiaal veronderstel is om te bestaan.

Begin met wat die profiel reeds bevat

Maak die profiel in 'n teksredigeerder oop en soek eers na 'n ca-blok voordat jy na 'n lêer soek. 'n Inlyn-ca-blok met die operateur se openbare CA beteken die profiel is selfstandig, en 'n kliënt wat steeds na 'n CA-lêer vra, lees dalk 'n ander profiel of 'n onvolledige invoer. As die profiel eerder 'n ca-reël het wat na 'n pad wys, is daardie pad by sommige integrasies relatief tot die kliënt se werkmap en by ander absoluut. Let op watter vorm jy het voordat jy iets verander.

ca /absolute/path/operator-ca.crt
auth-user-pass
remote-cert-tls server

Kyk in die afgelewerde pakket na die lêers waarna die profiel verwys: 'n CA-sertifikaat, soms 'n aparte kliëntsertifikaat en -sleutel, en moontlik 'n tls-auth- of tls-crypt-lêer. 'n Profiel wat na vier lêers verwys maar met twee aankom, is onvolledig, en geen hoeveelheid aanwys van velde herstel dit nie. Vra die operateur vir die ontbrekende deel eerder as om 'n sertifikaat te vervang wat jy toevallig het.

Skei vier soorte materiaal

Die CA-sertifikaat is openbare materiaal wat gebruik word om die bediener se identiteit te verifieer. 'n Kliëntsertifikaat identifiseer die gebruiker of toestel teenoor die bediener. 'n Privaat sleutel is die geheime helfte van daardie kliëntsertifikaat, en dit moet nooit die CA se ondertekeningsleutel of 'n bedienerleutel wees nie. tls-auth- of tls-crypt-materiaal is 'n aparte gedeelde geheim wat die beheerkanaal beskerm. Hierdie vier is nie uitruilbaar nie, en om die CA-veld na 'n kliëntsertifikaat te wys, lewer 'n verifikasiefout op wat soos 'n vertrouensprobleem lyk.

Wagwoord-alleen-verifikasie verander watter van die vier jy nodig het, nie wat hulle beteken nie. Met auth-user-pass en remote-cert-tls server verifieer die kliënt die bediener steeds teen 'n CA, en daarom verskyn die CA-veld selfs wanneer geen kliëntsertifikaat bestaan nie. Die operateur se beleid bepaal of 'n kliëntsertifikaat ook vereis word, en geen dialoog kan jou dit sê nie.

Wys die kliënt na die vertrouenslêer

Kies die CA-sertifikaatlêer self, nie die gids wat dit bevat nie en nie 'n .p12-bondel wat 'n kliëntidentiteit bevat nie. Op Windows werk die padsintaksis en die lêerkieser anders as die Linux-voorbeelde in die meeste gidse, so gebruik wat die geïnstalleerde kliënt aanvaar en bevestig dat die lêer leesbaar is vir die rekening wat dit laat loop. 'n Toestemmingsprobleem en 'n ontbrekende lêer lyk dieselfde in die dialoog, maar lewer verskillende logreëls op. Heropen die profielinstellings nadat jy gekies het om te bevestig dat die kliënt die keuse behou het.

<ca>
-----BEGIN CERTIFICATE-----
...operator-provided public CA...
-----END CERTIFICATE-----
</ca>

As die kliënt inlynblokke ondersteun, verkies die operateur se inlynprofiel bo een wat met die hand saamgestel is. Inlynmateriaal reis saam met die profiel en oorleef herinvoer, terwyl 'n absolute pad breek sodra die profiel na 'n ander masjien verskuif.

Lees die volgende fout, nie dieselfde een nie

Die punt daarvan om die korrekte CA te verskaf, is om die fout te verander, nie om dit te laat verdwyn nie. 'n Bedieneridentiteitsfout nadat die CA gelaai is, beteken die sertifikaat stem nie ooreen met die verwagte naam of die remote-cert-tls-verwagting nie, wat 'n ander herstel is as 'n wagwoordverwerping. 'n Wagwoordverwerping beteken die TLS-laag het geslaag en die geloofsbrief is verkeerd. Hou die eerste nuwe boodskap; dit is die nuttige een.

'n Kliënt wat verbind maar niks kan bereik nie, het heeltemal verby vertroue beweeg en staan nou voor 'n roete- of DNS-vraag.

Moet nooit verifikasie deaktiveer om verby daardie dialoog te kom nie. 'n Kliënt wat enige sertifikaat aanvaar, het geen rede om na 'n CA te vra nie, en die tonnel wat dit bou, is nie die een wat die operateur bedoel het nie.