El certificat es veu a Windows, però OpenVPN no pot fer servir la seva clau

El certificat es veu al visor de certificats de Windows i, tot i així, el client no el pot fer servir. Veure un certificat només demostra que hi ha un objecte públic en un emmagatzematge. No demostra que el procés de connexió trobi la clau privada corresponent ni que tingui permís per fer-la servir.

Tres objectes han d’encaixar. El certificat seleccionat, la clau privada que hi ha darrere i el compte amb què s’executa el client són coses separades, i cadascuna pot fallar pel seu compte.

Tres objectes, tres respostes

La versió comunitària de OpenVPN a Windows documenta un selector d’emmagatzematge de CryptoAPI, cryptoapicert, que pren una empremta. El valor ha d’identificar el certificat que realment voleu fer servir, no un altre amb un nom semblant. Altres aplicacions basades en OpenVPN poden tenir un model d’importació completament diferent, així que el selector només és una prova per a la compilació que el documenta. Confirmeu que el vostre client implementa el mecanisme abans de depurar res més avall.

Si la compilació no admet el selector, la solució és un altre format de perfil, no un altre certificat.

El selector resol a la identitat correcta

Un certificat públic es pot importar sense la seva clau privada. El visor el mostra igualment, i per això aquesta fallada sembla que el client ignora un certificat que és ben visible. Comproveu l’associació de la clau, no només la presència de l’entrada.

Un certificat renovat afegeix un segon parany. Totes dues entrades poden quedar-se a l’emmagatzematge mentre el perfil encara nomena l’empremta antiga, i el client continua seleccionant la identitat que volíeu retirar.

Comproveu a quina identitat resol el selector abans de mirar els permisos. Una empremta equivocada falla igual que una clau absent.

Aquest compte pot fer servir la clau

L’accés a la clau és per compte. Un servei, una tasca programada i una sessió d’escriptori interactiva poden tenir vistes diferents de l’emmagatzematge i permisos diferents per fer servir una clau privada. Que el certificat es vegi a la vostra sessió no diu res sobre el compte del servei.

Una clau recolzada per maquinari pot necessitar el seu proveïdor i un pas de confirmació. Un servei que no pot mostrar cap avís no se salva exportant la clau a un fitxer pla.

Llegiu l’error local abans de canviar res. Una fallada de selecció, una fallada de signatura i un rebuig remot són tres resultats diferents. Només els dos primers són locals. El tercer vol dir que la clau va funcionar i que el servidor va decidir en contra del certificat.

L’ús local no és acceptació remota

Un èxit local no és una autorització. Quan el client signa amb la seva clau, el servidor encara avalua l’emissor, la finestra de validesa, el rol i la seva política d’accés. Un certificat diferent de la mateixa CA no porta automàticament els mateixos drets de VPN.

El servidor necessita la cadena de confiança, no una còpia de la clau privada del client. Enviar la clau al servidor no és mai la reparació d’un problema de verificació.

Tracteu la fallada per ordre

Conserveu el text exacte de l’error. Una falta de permís sobre la clau no s’ha de convertir en un canvi de CA, i un rebuig remot no s’ha de convertir en una reparació de l’emmagatzematge. Cadascun té les seves proves.

Treballu en l’ordre en què apareix la fallada: selector, clau, compte i després política del servidor. La referència comunitària del client documenta el selector d’emmagatzematge de Windows per a la versió que executeu.