AWS Client VPN: certificat de servidor versus paper del certificat de client
El certificat de servidor del punt final demostra el servei. L'autenticació mútua afegeix identitats per client i confiança en la CA sense compartir la clau del servidor.
Un punt final de Client VPN sempre necessita un certificat TLS de servidor. Aquesta és la identitat que presenta el punt final gestionat quan un client es connecta. És un objecte diferent dels certificats que presenten els clients individuals quan s'utilitza l'autenticació mútua. Confondre'ls és la raó més habitual perquè una configuració d'ACM d'altra manera correcta encara falli a la primera connexió.
Aquí teniu un recorregut des de la consola cap a fora, en l'ordre que una connexió travessa realment.
Dos papers, un punt final
El punt final posseeix una identitat de servidor i, opcionalment, una manera de verificar les identitats dels clients. Aquestes es configuren per separat. Una decideix si el client pot confiar en el servei; l'altra decideix si el servei accepta el client.
| Material | Purpose | Where it lives |
|---|---|---|
| Server certificate and private key | The managed endpoint proves its TLS identity | ACM, in the endpoint's Region |
| Client certificate and matching key | An individual client proves its identity | On the device |
| CA trust material | The verifier checks the issuer chain | Selected for the client role |
Llegiu la taula com tres requisits independents en lloc d'un sol certificat. El certificat de servidor i la seva clau privada es queden amb el servei. Un certificat de client i la seva clau privada corresponent viuen al dispositiu. El material de la CA és el que un verificador utilitza per comprovar la cadena. Només la fila central pertany mai a un portàtil.
Què fa el certificat de servidor d'ACM
Quan creeu el punt final, el certificat de servidor ha d'estar disponible a ACM a la mateixa regió que el punt final. La consola demana un ARN, i aquest ARN s'hi ha de resoldre. ACM pot contenir un certificat que hàgiu provisionat amb validació de domini, o un que hàgiu importat juntament amb la seva clau i cadena. Tots dos funcionen en aquest paper; difereixen en la renovació i en qui té la clau privada.
Trieu la via de provisionament que coincideix amb qui pot renovar el certificat, no la que casualment va produir un fitxer d'aspecte vàlid.
Què afegeix l'autenticació mútua
Seleccionar l'autenticació de client basada en certificats afegeix una segona pregunta: quins clients poden connectar-se. Cada client presenta el seu propi certificat i demostra la possessió de la clau privada corresponent. Les identitats separades són el que fa possible més endavant una revocació selectiva. Copiar una clau de client a cada dispositiu descarta aquesta propietat sense fer soroll, fins i tot quan el certificat de servidor s'ha obtingut perfectament.
El mètode d'autenticació del punt final és una elecció, no un requisit universal.
Active Directory i l'autenticació federada responen la mateixa pregunta per altres mitjans. Una recepta de certificat mutu no és automàticament el disseny d'inici de sessió per a aquests desplegaments, i la verificació TLS del servidor es manté independentment de com s'admet l'usuari.
Per què el mateix ARN de CA no és compartir claus
AWS documenta que quan els certificats de servidor i de client són emesos per la mateixa CA, l'ARN del certificat de servidor també es pot utilitzar per a la selecció del certificat de client. Aquesta frase tracta de quina cadena confia el punt final per a la verificació. No diu als clients que utilitzin la clau privada del servidor. Un portàtil encara necessita el seu propi certificat de client i la seva pròpia clau corresponent.
Quan la CA del client és un emissor diferent, la via documentada és importar aquesta CA a ACM i seleccionar-la per al paper de client.
Resseguiu la fallada fins a una etapa
Identifiqueu quina etapa falla abans de substituir res. Si el client rebutja el punt final, l'ARN del servidor o la seva cadena són els sospitosos. Si el punt final rebutja el client, mireu el certificat de client, el seu emissor i el mètode d'autenticació seleccionat. Si el túnel s'aixeca i el trànsit encara falla, ja heu passat dels certificats.
Substituïu un objecte alhora, perquè intercanviar tots dos extrems alhora reprodueix l'ambigüitat amb què vau començar.
Comproveu també els algorismes de clau suportats i les extensions requerides del servei per al paper concret. Un certificat que satisfà un lloc web públic no és prova que s'hagin complert tots els requisits d'identitat de Client VPN.
Anoteu quin ARN conté cada camp, quina CA va emetre el certificat de client i quin mètode d'autenticació utilitza realment el punt final. Tres línies de registre converteixen la propera renovació en una tasca en lloc d'una investigació.