كلمة مرور VPN صحيحة لا يمكن أن تعوّض عن شهادة مفقودة

بيانات الاعتماد صحيحة، والملف التعريفي يُستورد بلا مشاكل، ومع ذلك يفشل الاتصال قبل أن تكتمل المصادقة. في Windows قد تكون الرسالة الخطأ 798، بشأن شهادة لم يُعثر عليها لطريقة EAP. وفي OpenVPN يُظهر سجل العميل مصافحة TLS لا تُرضي الخادم أبدًا. كلاهما يصف الشيء المفقود نفسه: شهادة عميل كان يُفترض أن يقدّمها العميل.

كلمة المرور تُثبت معرفة سرّ؛ والشهادة تُثبت حيازة مفتاح، ولا تُغني إحداهما عن الأخرى.

كلمة المرور لم تكن المشكلة قط

الخطأ 798 هو فشل في البحث عن شهادة. طُلب من العميل شهادة تطابق طريقة المصادقة المضبوطة، فبحث في مخزنه ولم يجد شيئًا صالحًا للاستخدام. وقد يعني ذلك أن الشهادة غائبة، أو موجودة دون مفتاحها الخاص، أو منتهية الصلاحية، أو مخزّنة في مكان لا يصل إليه البحث. وإعادة إدخال كلمة المرور لا يمكن أن تغيّر أيًا من تلك الحالات، ولهذا يعود الخطأ مع بيانات اعتماد صحيحة.

اقرأ الرسالة قبل أن تتصرّف بناءً عليها. رفض بيانات الاعتماد وفشل البحث عن شهادة وفشل مصافحة TLS هي ثلاثة نتائج مختلفة، وواحدة فقط منها تتعلق بكلمة المرور.

ما يجب أن يحتويه مخزن العميل

هناك كائنان معنيان. يجب تثبيت شهادة العميل للمستخدم الذي يشغّل عميل VPN، مع مفتاحها الخاص، ويجب الوثوق بالجذر المُصدِر. ملف .cer لا يحتوي إلا على الشهادة العامة، لذا لا يستطيع المصادقة على شيء بمفرده. في مدير شهادات Windows، تنتمي هوية العميل إلى مخزن المستخدم الحالي الشخصي، وينتمي الجذر إلى مخزن الجذور الموثوقة.

تثبيت الهوية في مخزن الجهاز، أو في مخزن الجذور وحده، لا يفي ببحثٍ موجّه إلى مخزن المستخدم الشخصي. تحقّق من المخزن وعلامة المفتاح الخاص وتواريخ الصلاحية معًا، ثم أعد تشغيل العميل ليقرأ المخزن من جديد.

منتجان، والبيانات المفقودة نفسها

خوادم OpenVPN تطلب شهادة عميل افتراضيًا. إضافة auth-user-pass إلى العميل ترسل اسم مستخدم وكلمة مرور، ومع ذلك تظل مصافحة TLS تطلب شهادة، لذا لا تستطيع كلمة مرور وحدها إكمال الاتصال في ظل verify-client-cert require. يمكن ضبط الخادم على ألا يطلب شيئًا، وهذا يجعل كلمة المرور بيانات الاعتماد الوحيدة للعميل، وهو انخفاض حقيقي في القوة. وسكربت shell خلف auth-user-pass-verify يمكنه التحقق من بيانات الاعتماد، وهو يتطلب تفعيل تنفيذ السكربتات، ما يجعله تصميمًا أكثر خطورة من خلفية مصادقة سليمة.

الملف التعريفي المعتمد على كلمة المرور فقط يعتمد أيضًا على خيارات مدفوعة، وهي بدورها تعتمد على تفعيل آلية السحب.

لا تُصلح شهادة مفقودة بتعطيل الفحوصات

الإغراء هو تخفيف التحقق حتى تختفي الرسالة. وهذا يزيل الضابط الذي كان يؤدي وظيفته ويترك اتصالًا لم يعد يُثبت ما يدّعيه. إذا كانت البوابة قد غيّرت جذرها مؤخرًا، فأعد تنزيل حزمة العميل بدلًا من تعديل الملف التعريفي، لأن الحزمة القديمة قد تحمل الجذر السابق. وإذا كان خيار مصادقة الشهادة غائبًا من محرر الملف التعريفي، فقد لا يعرض إصدار Windows المثبّت تلك الطريقة؛ حدّث النظام بدلًا من تعديل XML يدويًا.

سجّل أي مخزن احتوى الشهادة، وأي مستخدم شغّل العميل، وما إذا كان المفتاح الخاص موجودًا. هذه الثلاثة تفسّر كل حالة تقريبًا من هذا الفشل.

كانت كلمة المرور سليمة. وكانت البيانات التي احتاجتها الطريقة فعليًا في مكان آخر.