AWS Client VPN: شهادة الخادم مقابل دور شهادة العميل
شهادة الخادم لنقطة النهاية تثبت هوية الخدمة. تضيف المصادقة المتبادلة هويات لكل عميل وثقة بجهة إصدار الشهادات دون مشاركة مفتاح الخادم.
تحتاج نقطة نهاية Client VPN دائمًا إلى شهادة خادم TLS. تلك هي الهوية التي تعرضها نقطة النهاية المُدارة عند اتصال العميل. وهي كائن مختلف عن الشهادات التي يعرضها الأفراد من العملاء عند استخدام المصادقة المتبادلة. الخلط بين الاثنين هو السبب الأكثر شيوعًا لفشل إعداد ACM الصحيح في غير ذلك عند الاتصال الأول.
فيما يلي استعراض من وحدة التحكم إلى الخارج، بالترتيب الذي يمر به الاتصال فعليًا.
دوران، نقطة نهاية واحدة
تمتلك نقطة النهاية هوية خادم، واختياريًا وسيلة للتحقق من هويات العملاء. يُضبط هذان الأمران بشكل منفصل. أحدهما يقرر ما إذا كان العميل يستطيع الوثوق بالخدمة؛ والآخر يقرر ما إذا كانت الخدمة تقبل العميل.
| Material | Purpose | Where it lives |
|---|---|---|
| Server certificate and private key | The managed endpoint proves its TLS identity | ACM, in the endpoint's Region |
| Client certificate and matching key | An individual client proves its identity | On the device |
| CA trust material | The verifier checks the issuer chain | Selected for the client role |
اقرأ الجدول كثلاثة متطلبات مستقلة وليس كشهادة واحدة. تبقى شهادة الخادم ومفتاحها الخاص لدى الخدمة. أما شهادة العميل والمفتاح الخاص المطابق فتعيشان على الجهاز. مادة جهة إصدار الشهادات هي ما يستخدمه المتحقق لفحص السلسلة. الصف الأوسط وحده هو ما ينتمي إلى حاسوب محمول.
ما تفعله شهادة خادم ACM
عند إنشاء نقطة النهاية، يجب أن تكون شهادة الخادم متاحة في ACM في المنطقة نفسها التي توجد فيها نقطة النهاية. تطلب وحدة التحكم ARN، ويجب أن يُحل ذلك ARN هناك. يمكن لـ ACM أن تحتفظ بشهادة زودتها بالتحقق من النطاق، أو بشهادة استوردتها مع مفتاحها وسلسلتها. كلتاهما تعملان في هذا الدور؛ لكنهما تختلفان في التجديد وفي من يحتفظ بالمفتاح الخاص.
اختر مسار التزويد الذي يناسب من يمكنه تجديد الشهادة، لا المسار الذي أنتج بالمصادفة ملفًا يبدو صالحًا.
ما تضيفه المصادقة المتبادلة
اختيار مصادقة العميل القائمة على الشهادات يضيف سؤالًا ثانيًا: أي العملاء يمكنهم الاتصال أصلًا. يعرض كل عميل شهادته الخاصة ويثبت حيازته للمفتاح الخاص المطابق. الهويات المنفصلة هي ما يجعل الإبطال الانتقائي ممكنًا لاحقًا. نسخ مفتاح عميل واحد إلى كل جهاز يتخلى عن هذه الخاصية بهدوء، حتى عندما تُحصل شهادة الخادم بشكل مثالي.
طريقة مصادقة نقطة النهاية خيار وليست متطلبًا عالميًا.
يجيب Active Directory والمصادقة الموحدة على السؤال نفسه بوسائل أخرى. وصفة الشهادة المتبادلة ليست تلقائيًا تصميم تسجيل الدخول لتلك عمليات النشر، ويبقى التحقق من TLS على الخادم قائمًا بغض النظر عن طريقة إدخال المستخدم.
لماذا لا يعني ARN نفسه لجهة الإصدار مشاركة المفاتيح
توثق AWS أنه عندما تصدر جهة الإصدار نفسها شهادتي الخادم والعميل، يمكن استخدام ARN شهادة الخادم أيضًا لاختيار شهادة العميل. تلك الجملة تتناول السلسلة التي تثق بها نقطة النهاية عند التحقق. وهي لا تطلب من العملاء استخدام المفتاح الخاص للخادم. لا يزال الحاسوب المحمول يحتاج إلى شهادة عميل خاصة به ومفتاح مطابق خاص به.
عندما تكون جهة إصدار شهادة العميل مُصدرًا مختلفًا، فإن المسار الموثق هو استيراد تلك الجهة إلى ACM واختيارها لدور العميل.
أعد الفشل إلى مرحلة
حدد المرحلة التي تفشل قبل أن تستبدل أي شيء. إذا رفض العميل نقطة النهاية، فإن ARN الخادم أو سلسلته هو المشتبه به. وإذا رفضت نقطة النهاية العميل، فانظر إلى شهادة العميل ومُصدرها وطريقة المصادقة المختارة. وإذا ارتفع النفق وظل المرور يفشل، فقد تجاوزت الشهادات تمامًا.
استبدل كائنًا واحدًا في كل مرة، لأن تبديل الطرفين معًا يعيد إنتاج الغموض الذي بدأت به.
تحقق أيضًا من خوارزميات المفاتيح المدعومة والامتدادات المطلوبة للخدمة في الدور المحدد. الشهادة التي ترضي موقع ويب عامًا ليست دليلًا على استيفاء كل متطلبات هوية Client VPN.
دوِّن أي ARN يحمله كل حقل، وأي جهة أصدرت شهادة العميل، وأي طريقة مصادقة تستخدمها نقطة النهاية فعليًا. ثلاثة أسطر من السجل تحول التجديد التالي إلى مهمة بدلاً من تحقيق.