Certifikát je ve Windows vidět, ale OpenVPN jeho klíč použít nedokáže

Certifikát je v prohlížeči certifikátů Windows vidět, a přesto ho klient nedokáže použít. To, že certifikát vidíte, dokazuje jen existenci veřejného objektu v některém úložišti. Nedokazuje, že proces připojení najde odpovídající soukromý klíč nebo že ho smí použít.

Musí se sejít tři objekty. Vybraný certifikát, soukromý klíč za ním a účet, pod kterým klient běží, jsou oddělené věci a každá z nich může selhat sama o sobě.

Tři objekty, tři odpovědi

Komunitní OpenVPN pro Windows dokumentuje volič úložiště CryptoAPI, cryptoapicert, který přebírá otisk. Hodnota musí označovat certifikát, který skutečně chcete použít, ne jiný podobného jména. Jiné aplikace postavené na OpenVPN mohou mít úplně jiný model importu, takže volič je důkazem jen pro to sestavení, které ho dokumentuje. Než začnete cokoli ladit dál, ověřte, že váš klient tento mechanismus implementuje.

Pokud sestavení volič nepodporuje, řešením je jiný formát profilu, ne jiný certifikát.

Vede volič ke správné identitě

Veřejný certifikát lze importovat bez jeho soukromého klíče. Prohlížeč ho ukáže v obou případech, a proto tato porucha vypadá, jako by klient ignoroval certifikát, který tam zjevně je. Kontrolujte spojení s klíčem, ne jen přítomnost záznamu.

Obnovený certifikát přidává druhou past. Oba záznamy mohou v úložišti zůstat, zatímco profil stále uvádí starší otisk, a klient dál vybírá identitu, kterou jste chtěli vyřadit.

Než se podíváte na oprávnění, zjistěte, ke které identitě volič vede. Špatný otisk selhává stejně jako chybějící klíč.

Může tento účet klíč použít

Přístup ke klíči je per účet. Služba, naplánovaná úloha a interaktivní relace na ploše mohou mít různý pohled na úložiště a různá oprávnění použít soukromý klíč. To, že certifikát vidíte ve své vlastní relaci, o účtu služby neříká nic.

Klíč podepřený hardwarem může potřebovat svého poskytovatele a krok potvrzení. Službu, která neumí zobrazit výzvu, export klíče do obyčejného souboru nezachrání.

Přečtěte si místní chybu, než cokoli změníte. Selhání výběru, selhání podpisu a odmítnutí ze serveru jsou tři různé výsledky. Jen první dva jsou místní. Třetí znamená, že klíč fungoval a server se rozhodl proti certifikátu.

Místní použití není přijetí ze serveru

Místní úspěch není oprávnění. I poté, co klient podepíše svým klíčem, server stále hodnotí vydavatele, dobu platnosti, roli a svou zásadu přístupu. Jiný certifikát od stejné CA automaticky nenese stejná práva k VPN.

Server potřebuje řetěz důvěry, ne kopii soukromého klíče klienta. Poslat klíč na server není nikdy opravou problému s ověřováním.

Řešte poruchu popořadě

Uchovejte přesný text chyby. Chybějící oprávnění ke klíči se nesmí proměnit ve změnu CA a odmítnutí ze serveru v opravu úložiště. Každé má svůj důkaz.

Postupujte v pořadí, v jakém se porucha objevuje: volič, klíč, účet a pak zásada serveru. Komunitní reference klienta dokumentuje volič úložiště Windows pro verzi, kterou používáte.