AWS Client VPN: сървърният сертификат и ролята на клиентския сертификат
Сървърният сертификат на крайната точка доказва услугата. Взаимното удостоверяване добавя идентичности за всеки клиент и доверие в CA, без да споделя ключа на сървъра.
Крайната точка на Client VPN винаги се нуждае от TLS сървърен сертификат. Това е идентичността, която управляваната крайна точка представя, когато клиент се свърже. Това е различен обект от сертификатите, които отделните клиенти представят при взаимно удостоверяване. Объркването между двете е най-честата причина иначе правилна настройка на ACM да се проваля още при първата връзка.
Следва преглед от конзолата навън, в реда, по който една връзка наистина преминава.
Две роли, една крайна точка
Крайната точка притежава сървърна идентичност и по избор начин за проверка на идентичностите на клиентите. Те се конфигурират отделно. Едното решава дали клиентът може да се довери на услугата; другото решава дали услугата приема клиента.
| Material | Purpose | Where it lives |
|---|---|---|
| Server certificate and private key | The managed endpoint proves its TLS identity | ACM, in the endpoint's Region |
| Client certificate and matching key | An individual client proves its identity | On the device |
| CA trust material | The verifier checks the issuer chain | Selected for the client role |
Четете таблицата като три независими изисквания, а не като един сертификат. Сървърният сертификат и неговият частен ключ остават при услугата. Клиентският сертификат и съответният частен ключ живеят на устройството. Материалът на CA е това, с което проверяващият проверява веригата. Само средният ред принадлежи някога на лаптоп.
Какво прави сървърният сертификат в ACM
Когато създавате крайната точка, сървърният сертификат трябва да е наличен в ACM в същия регион като крайната точка. Конзолата иска ARN и този ARN трябва да се разрешава там. ACM може да съхранява сертификат, издаден с проверка на домейн, или такъв, който сте импортирали заедно с ключа и веригата. И двата работят в тази роля; различават се по подновяването и по това кой държи частения ключ.
Изберете пътя на осигуряване според това кой може да поднови сертификата, а не според този, който случайно е създал файл, изглеждащ валиден.
Какво добавя взаимното удостоверяване
Изборът на удостоверяване на клиент въз основа на сертификат добавя втори въпрос: кои клиенти изобщо могат да се свързват. Всеки клиент представя собствен сертификат и доказва притежание на съответния частен ключ. Именно отделните идентичности правят възможно по-късното селективно отзиване. Копирането на един клиентски ключ на всеки устройство тихо изхвърля това свойство, дори когато сървърният сертификат е получен безупречно.
Методът за удостоверяване на крайната точка е избор, а не универсално изискване.
Active Directory и федеративното удостоверяване отговарят на същия въпрос с други средства. Рецептата с взаимни сертификати не е автоматично дизайнът на влизане за тези внедрявания и TLS проверката на сървъра остава в сила независимо как се допуска потребителят.
Защо същият ARN на CA не е споделяне на ключове
AWS документира, че когато сървърният и клиентският сертификат са издадени от един и същ CA, ARN на сървърния сертификат може да се използва и за избор на клиентския сертификат. Това изречение е за веригата, на която крайната точка се доверява при проверка. То не казва на клиентите да използват частения ключ на сървъра. Лаптопът все още се нуждае от собствен клиентски сертификат и собствен съответен ключ.
Когато CA на клиента е друг издател, документираният път е да импортирате този CA в ACM и да го изберете за ролята на клиента.
Върнете повредата към етап
Преди да замените нещо, определете кой етап се проваля. Ако клиентът отхвърля крайната точка, заподозрени са ARN на сървъра или веригата му. Ако крайната точка отхвърля клиента, погледнете клиентския сертификат, неговия издател и избрания метод на удостоверяване. Ако тунелът се вдигне, а трафикът все още се проваля, вече сте преминали сертификатите.
Заменяйте по един обект наведнъж, защото смяната и на двата края едновременно възпроизвежда двусмислието, с което сте започнали.
Проверете също поддържаните алгоритми за ключове и изискваните разширения на услугата за конкретната роля. Сертификат, който задоволява публичен сайт, не е доказателство, че са изпълнени всички изисквания за идентичност на Client VPN.
Запишете кой ARN държи всеко поле, кой CA е издал клиентския сертификат и кой метод на удостоверяване крайната точка действително използва. Три реда запис превръщат следващото подновяване в задача, а не в разследване.