Сертификатът се вижда в Windows, но OpenVPN не може да използва ключа му

Сертификатът се вижда в прегледача на сертификати на Windows, а клиентът все още не може да го използва. Да виждаш сертификат доказва само, че в дадено хранилище съществува публичен обект. Това не доказва, че процесът на свързване може да намери съответния частен ключ или че има право да го използва.

Три обекта трябва да съвпаднат. Избраният сертификат, частният ключ зад него и акаунтът, под който работи клиентът, са отделни неща и всяко от тях може да се провали самостоятелно.

Три обекта, три отговора

Общностната версия на OpenVPN за Windows документира селектор на хранилището на CryptoAPI, cryptoapicert, който приема отпечатък. Стойността трябва да сочи сертификата, който наистина смятате да използвате, а не друг с подобно име. Други приложения, изградени върху OpenVPN, може да имат напълно различен модел на импортиране, затова селекторът е доказателство само за изданието, което го документира. Уверете се, че клиентът ви реализира този механизъм, преди да отстранявате нещо надолу по веригата.

Ако изданието не поддържа селектора, решението е друг формат на профила, а не друг сертификат.

Дали селекторът води до правилната самоличност

Публичен сертификат може да бъде импортиран без частния си ключ. Прегледачът го показва и в двата случая и точно затова тази повреда изглежда като клиент, който пренебрегва очевидно наличен сертификат. Проверете връзката с ключа, а не само присъствието на записа.

Подновеният сертификат добавя втори капан. И двата записа може да стоят в хранилището, докато профилът още сочи по-стария отпечатък, и клиентът продължава да избира самоличността, която сте искали да оттеглите.

Проверете до коя самоличност води селекторът, преди да гледате правата. Грешен отпечатък се проваля по същия начин като липсващ ключ.

Може ли този акаунт да използва ключа

Достъпът до ключа е за всеки акаунт поотделно. Услуга, планирана задача и интерактивна сесия на работния плот може да имат различни изгледи към хранилището и различни права да използват частен ключ. Това, че сертификатът се вижда в собствената ви сесия, не казва нищо за акаунта на услугата.

Ключ, подкрепен от хардуер, може да изисква своя доставчик и стъпка за потвърждение. Услуга, която не може да покаже подкана, няма да бъде спасена чрез експортиране на ключа в обикновен файл.

Прочетете локалната грешка, преди да променяте каквото и да е. Провал при избор, провал при подписване и отказ от сървъра са три различни изхода. Само първите два са локални. Третият означава, че ключът е проработил и сървърът е решил срещу сертификата.

Локалната употреба не е приемане от сървъра

Локалният успех не е разрешение. След като клиентът подпише с ключа си, сървърът все още оценява издателя, срока на валидност, ролята и своята политика за достъп. Друг сертификат от същия сертификатен орган не носи автоматично същите права за VPN.

На сървъра му трябва верига на доверие, а не копие от частния ключ на клиента. Изпращането на ключа към сървъра никога не е решението на проблем с проверка.

Работете по повредата по ред

Пазете точния текст на грешката. Липсващото право за ключа не бива да се превръща в смяна на сертификатен орган, а отказът от сървъра — в ремонт на хранилището. Всяко от тях има своите доказателства.

Работете в реда, в който се появява повредата: селектор, ключ, акаунт, после политика на сървъра. Справочникът на общността за клиента документира селектора на хранилището на Windows за версията, която използвате.