Сертыфікат бачны ў Windows, але OpenVPN не можа выкарыстаць яго ключ

Сертыфікат бачны ў праглядніку сертыфікатаў Windows, і пры гэтым кліент усё роўна не можа ім скарыстацца. Бачыць сертыфікат — гэта даказвае толькі тое, што ў сховішчы існуе публічны аб’ект. Гэта не даказвае, што працэс злучэння здолее знайсці адпаведны прыватны ключ або мае права ім карыстацца.

Тры аб’екты павінны супасці. Выбраны сертыфікат, прыватны ключ за ім і ўліковы запіс, ад імя якога працуе кліент, — гэта розныя рэчы, і кожная з іх можа падвесці сама па сабе.

Тры аб’екты, тры адказы

Супольнасць OpenVPN для Windows дакументуе выбар сховішча CryptoAPI, cryptoapicert, які прымае адбітак. Значэнне павінна паказваць на сертыфікат, які вы сапраўды збіраецеся выкарыстоўваць, а не на падобны па назве. Іншыя праграмы на аснове OpenVPN могуць мець зусім іншую мадэль імпарту, таму выбар сховішча — доказ толькі для той зборкі, якая яго дакументуе. Пераканайцеся, што ваш кліент рэалізуе гэты механізм, перш чым нешта наладжваць далей.

Калі зборка не падтрымлівае выбар сховішча, рашэнне — іншы фармат профілю, а не іншы сертыфікат.

Ці вядзе выбар да правільнай ідэнтычнасці

Публічны сертыфікат можна імпартаваць без прыватнага ключа. Прагляднік паказвае яго ў любым выпадку, і менавіта таму гэтая памылка выглядае так, нібы кліент ігнаруе сертыфікат, які відавочна ёсць. Правярайце сувязь з ключом, а не проста наяўнасць запісу.

Абноўлены сертыфікат дадае другую пастку. Абодва запісы могуць ляжаць у сховішчы, пакуль профіль усё яшчэ называе стары адбітак, і кліент працягвае выбіраць тую ідэнтычнасць, якую вы хацелі адклікаць.

Праверце, да якой ідэнтычнасці вядзе выбар, перш чым глядзець на правы. Няправільны адбітак дае збой гэтак жа, як адсутны ключ.

Ці можа гэты ўліковы запіс выкарыстоўваць ключ

Доступ да ключа разлічваецца на ўліковы запіс. Служба, запланаваная задача і інтэрактыўная сесія працоўнага стала могуць мець розныя ўяўленні пра сховішча і розныя правы на выкарыстанне прыватнага ключа. Тое, што сертыфікат бачны ў вашай уласнай сесіі, нічога не кажа пра ўліковы запіс службы.

Ключ, які абапіраецца на абсталяванне, можа патрабаваць свайго пастаўшчыка і кроку пацверджання. Службу, якая не можа паказаць запыт, не ўратуе экспарт ключа ў звычайны файл.

Прачытайце лакальную памылку, перш чым нешта мяняць. Збой выбару, збой подпісу і адмова сервера — гэта тры розныя вынікі. Толькі першыя два лакальныя. Трэці азначае, што ключ спрацаваў, а сервер адмовіў сертыфікату.

Лакальнае выкарыстанне не азначае згоды сервера

Лакальны поспех не дае правоў. Нават пасля таго як кліент падпіша сваім ключом, сервер усё роўна ацэньвае выдаўца, тэрмін дзеяння, ролю і сваю палітыку доступу. Іншы сертыфікат ад таго ж цэнтра сертыфікацыі не атрымлівае аўтаматычна тыя ж правы VPN.

Серверу патрэбен ланцуг даверу, а не копія прыватнага ключа кліента. Адпраўка ключа на сервер ніколі не з’яўляецца рашэннем праблемы праверкі.

Разбірайце збой па парадку

Захоўвайце дакладны тэкст памылкі. Адсутнасць права на ключ не павінна ператварацца ў змену цэнтра сертыфікацыі, а адмова сервера — у рамонт сховішча. У кожнага выпадку свае доказы.

Ідзіце ў тым парадку, у якім з’яўляецца збой: выбар сховішча, ключ, уліковы запіс, затым палітыка сервера. Даведка супольнасці па кліенце апісвае выбар сховішча Windows для той версіі, якую вы запускаеце.