Кой CA файл влиза в OpenVPN профил само с парола?

Минете през четири въпроса по ред и диалогът за CA престава да бъде двусмислен. Какъв материал всъщност е издал операторът, какво вече съдържа профилът, кое поле пита и какво се случва, след като файлът се зареди? Спрете на първия въпрос, на който не можете да отговорите от собствените инструкции на оператора, защото да гадаете отвъд него е начинът, по който публичен CA сертификат се озовава в двойка с частен ключ, който никога не е трябвало да напуска сървъра.

Редът е важен: последните два въпроса имат смисъл само след като знаете какъв материал трябва да съществува.

Започнете с това, което профилът вече носи

Отворете профила в текстов редактор и потърсете блок ca, преди да търсите файл. Вграденият блок ca с публичния CA на оператора означава, че профилът е самостоятелен, а клиент, който все още иска CA файл, може да чете друг профил или непълен импорт. Ако вместо това профилът има ред ca, сочещ към път, този път е относителен към работната директория на клиента при някои интеграции и абсолютен при други. Отбележете коя форма имате, преди да промените нещо.

ca /absolute/path/operator-ca.crt
auth-user-pass
remote-cert-tls server

Проверете доставения пакет за файловете, към които профилът препраща: CA сертификат, понякога отделен клиентски сертификат и ключ и евентуално файл tls-auth или tls-crypt. Профил, който препраща към четири файла, а пристига с два, е непълен и никакво сочене към полета не поправя това. Поискайте от оператора липсващата част, вместо да подставите сертификат, който случайно имате.

Разграничете четири вида материал

CA сертификатът е публичен материал, използван за проверка на идентичността на сървъра. Клиентският сертификат идентифицира потребителя или устройството пред сървъра. Частният ключ е тайната половина на този клиентски сертификат и никога не трябва да бъде ключът за подписване на CA или сървърен ключ. Материалът tls-auth или tls-crypt е отделна споделена тайна, която защитава контролния канал. Тези четири не са взаимозаменяеми и насочването на полето CA към клиентски сертификат дава отказ при проверка, който изглежда като проблем с доверието.

Удостоверяването само с парола променя кой от четирите ви е нужен, а не какво означават. С auth-user-pass и remote-cert-tls server клиентът все още проверява сървъра спрямо CA, затова полето CA се появява дори когато няма клиентски сертификат. Политиката на оператора решава дали е нужен и клиентски сертификат и никой диалог не може да ви каже това.

Насочете клиента към файла за доверие

Изберете самия CA сертификат, а не папката, която го съдържа, и не пакет .p12, който носи клиентска идентичност. Под Windows синтаксисът на пътя и изборът на файл се държат различно от примерите за Linux в повечето ръководства, затова използвайте това, което инсталираният клиент приема, и потвърдете, че файлът е четим от акаунта, който го стартира. Проблем с права и липсващ файл изглеждат еднакво в диалога, но дават различни редове в журнала. След избора отворете отново настройките на профила, за да потвърдите, че клиентът е запазил избора.

<ca>
-----BEGIN CERTIFICATE-----
...operator-provided public CA...
-----END CERTIFICATE-----
</ca>

Ако клиентът поддържа вградени блокове, предпочитайте вградения профил на оператора пред ръчно сглобен. Вграденият материал пътува с профила и оцелява при повторен импорт, докато абсолютният път се чупи в мига, в който профилът се премести на друга машина.

Прочетете следващата грешка, а не същата

Смисълът на подаването на правилния CA е да промени грешката, а не да я накара да изчезне. Отказ при идентичността на сървъра след зареждане на CA означава, че сертификатът не съвпада с очакваното име или с очакването remote-cert-tls, и това е различно поправяне от отхвърляне на парола. Отхвърлянето на парола означава, че TLS слоят е успял, а идентификационните данни са грешни. Запазете първото ново съобщение; то е полезното.

Клиент, който се свързва, но не достига до нищо, е преминал напълно отвъд доверието и сега е изправен пред въпрос за маршрутизиране или DNS.

Никога не изключвайте проверката, за да преминете през този диалог. Клиент, който приема всеки сертификат, няма причина да иска CA и тунелът, който изгражда, не е този, който операторът е имал предвид.