الشهادة تظهر في Windows لكن OpenVPN لا يستطيع استخدام مفتاحها

الشهادة ظاهرة في عارض شهادات Windows، ومع ذلك لا يستطيع العميل استخدامها. رؤية الشهادة لا تثبت إلا وجود كائن عام في أحد المخازن. وهي لا تثبت أن عملية الاتصال تستطيع إيجاد المفتاح الخاص المطابق أو أن لها حق استخدامه.

يجب أن تتناسق ثلاثة كائنات. فالشهادة المختارة، والمفتاح الخاص الذي يقف خلفها، والحساب الذي يعمل تحتّه العميل، أشياء منفصلة، وكلٌّ منها يمكن أن يفشل بمفرده.

ثلاثة كائنات، ثلاثة أجوبة

يوثّق إصدار OpenVPN المجتمعي على Windows محدِّد مخزن CryptoAPI، وهو cryptoapicert، ويأخذ بصمة إبهام. يجب أن تدل القيمة على الشهادة التي تقصد استخدامها فعلًا، لا على شهادة تحمل اسمًا مشابهًا. قد يكون لتطبيقات أخرى مبنية على OpenVPN نموذج استيراد مختلف تمامًا، لذا فالمحدِّد دليل على الإصدار الذي يوثّقه فقط. تأكّد من أن عميلك يطبّق هذه الآلية قبل أن تنقّح أي شيء لاحق.

إذا لم يدعم الإصدار هذا المحدِّد، فالإصلاح يكون بصيغة ملف تعريف مختلفة، لا بشهادة مختلفة.

هل يحلّ المحدِّد إلى الهوية الصحيحة

يمكن استيراد شهادة عامة دون مفتاحها الخاص. ويعرضها عارض الشهادات في الحالتين، ولهذا يبدو هذا العطل وكأن العميل يتجاهل شهادة موجودة بوضوح. افحص ارتباط المفتاح، لا مجرد وجود القيد.

الشهادة المجدَّدة تضيف فخًّا ثانيًا. يمكن أن يبقى القيدان في المخزن بينما لا يزال ملف التعريف يذكر بصمة الإبهام الأقدم، فيظل العميل يختار الهوية التي أردت سحبها.

تحقّق من الهوية التي يحلّ إليها المحدِّد قبل أن تنظر في الأذونات. فبصمة الإبهام الخاطئة تفشل بالطريقة نفسها التي يفشل بها المفتاح المفقود.

هل يستطيع هذا الحساب استخدام المفتاح

الوصول إلى المفتاح يكون لكل حساب. فالخدمة والمهمة المجدولة وجلسة سطح المكتب التفاعلية قد يكون لكل منها منظور مختلف إلى المخزن وإذن مختلف باستخدام المفتاح الخاص. وظهور الشهادة في جلستك أنت لا يقول شيئًا عن حساب الخدمة.

قد يحتاج المفتاح المدعوم عتاديًا إلى موفّره وإلى خطوة تأكيد. والخدمة التي لا تستطيع عرض مطالبة لن يُنقذها تصدير المفتاح إلى ملف عادي.

اقرأ الخطأ المحلي قبل أن تغيّر أي شيء. فشل الاختيار وفشل التوقيع والرفض من الخادم ثلاثة نتائج مختلفة. الأولان فقط محليان. أما الثالث فيعني أن المفتاح عمل وأن الخادم رفض الشهادة.

الاستخدام المحلي ليس قبولًا من الخادم

النجاح المحلي ليس تصريحًا. فبعد أن يوقّع العميل بمفتاحه، لا يزال الخادم يقيّم المُصدِر ونافذة الصلاحية والدور وسياسة الوصول لديه. وشهادة أخرى من المرجع نفسه لا تحمل تلقائيًا الحقوق نفسها في الشبكة الخاصة الافتراضية.

يحتاج الخادم سلسلة الثقة، لا نسخة من المفتاح الخاص للعميل. وإرسال المفتاح إلى الخادم ليس أبدًا إصلاحًا لمشكلة تحقّق.

عالج العطل بالترتيب

احتفظ بنص الخطأ كما هو. فلا ينبغي أن يتحول غياب إذن المفتاح إلى تغيير في المرجع، ولا أن يتحول الرفض من الخادم إلى إصلاح للمخزن. لكلٍّ منها دليله.

اعمل بالترتيب الذي يظهر به العطل: المحدِّد، ثم المفتاح، ثم الحساب، ثم سياسة الخادم. ويوثّق مرجع العميل المجتمعي محدِّد مخزن Windows للإصدار الذي تشغّله.