AWS Client VPN: tystysgrif gweinydd yn erbyn rôl tystysgrif cleient

Mae pwynt terfyn Client VPN bob amser angen tystysgrif TLS gweinydd. Dyna'r hunaniaeth y mae'r pwynt terfyn a reolir yn ei chyflwyno pan fydd cleient yn cysylltu. Mae'n wrthrych gwahanol i'r tystysgrifau y mae cleientiaid unigol yn eu cyflwyno pan ddefnyddir dilysu cilyddol. Cymysgu'r ddau yw'r rheswm mwyaf cyffredin pam y bydd gosodiad ACM sydd fel arall yn gywir yn dal i fethu ar y cysylltiad cyntaf.

Dyma drywydd o'r consol tuag allan, yn y drefn y mae cysylltiad yn ei thrafod mewn gwirionedd.

Dau rôl, un pwynt terfyn

Mae'r pwynt terfyn yn berchen ar hunaniaeth gweinydd ac, yn ddewisol, ffordd i ddilysu hunaniaethau cleientiaid. Mae'r rhain yn cael eu ffurfweddu ar wahan. Mae un yn penderfynu a all y cleient ymddiried yn y gwasanaeth; mae'r llall yn penderfynu a yw'r gwasanaeth yn derbyn y cleient.

Darllenwch y tabl fel tair gofyniad annibynnol yn hytrach nag un dystysgrif. Mae tystysgrif y gweinydd a'i allwedd breifat yn aros gyda'r gwasanaeth. Mae tystysgrif cleient a'i allwedd breifat gyfatebol yn byw ar y ddyfais. Deunydd y CA yw'r hyn y mae dilysydd yn ei ddefnyddio i wirio'r gadwyn. Dim ond y rhes ganol sy'n perthyn i liniadur erioed.

Beth mae tystysgrif gweinydd ACM yn ei wneud

Pan fyddwch yn creu'r pwynt terfyn, rhaid i'r dystysgrif gweinydd fod ar gael yn ACM yn yr un Rhanbarth â'r pwynt terfyn. Mae'r consol yn gofyn am ARN, ac mae'n rhaid i'r ARN hwnnw ddatrys yno. Gall ACM ddal tystysgrif a ddarparwyd gennych â dilysu parth, neu un a fewnforiwyd gennych gyda'i allwedd a'i gadwyn. Mae'r ddau yn gweithio yn y rôl hon; maent yn wahanol o ran adnewyddu ac o ran pwy sy'n dal yr allwedd breifat.

Dewiswch y llwybr darparu sy'n cyd-fynd â phwy all adnewyddu'r dystysgrif, nid yr un a ddigwyddodd gynhyrchu ffeil sy'n edrych yn ddilys.

Beth mae dilysu cilyddol yn ei ychwanegu

Mae dewis dilysu cleient yn seiliedig ar dystysgrif yn ychwanegu ail gwestiwn: pa gleientiaid a ganiateir i gysylltu o gwbl. Mae pob cleient yn cyflwyno ei dystysgrif ei hun ac yn profi meddiant o'r allwedd breifat gyfatebol. Hunaniaethau ar wahan sy'n gwneud dirymu dethol yn bosibl yn ddiweddarach. Mae copïo un allwedd cleient i bob dyfais yn taflu'r eiddo hwnnw ymaith yn dawel, hyd yn oed pan fydd tystysgrif y gweinydd wedi'i chael yn berffaith.

Mae dull dilysu'r pwynt terfyn yn ddewis, nid yn ofyniad cyffredinol.

Mae Active Directory a dilysu ffederal yn ateb yr un cwestiwn drwy ddulliau eraill. Nid yw rysáit tystysgrif gilyddol yn awtomatig yn gynllun mewngofnodi ar gyfer y gosodiadau hynny, ac mae dilysu TLS y gweinydd yn aros yn ei le waeth sut y mae'r defnyddiwr yn cael ei dderbyn.

Pam nad yw'r un ARN CA yn rhannu allweddi

Mae AWS yn dogfennu pan fydd tystysgrifau gweinydd a chleient yn cael eu cyhoeddi gan yr un CA, gellir defnyddio ARN tystysgrif y gweinydd hefyd ar gyfer dewis y dystysgrif cleient. Mae'r frawddeg honno yn ymwneud â pha gadwyn y mae'r pwynt terfyn yn ymddiried ynddi ar gyfer dilysu. Nid yw'n dweud wrth gleientiaid i ddefnyddio allwedd breifat y gweinydd. Mae liniadur yn dal angen ei dystysgrif cleient ei hun a'i allwedd gyfatebol ei hun.

Pan fydd CA'r cleient yn gyhoeddwr gwahanol, y llwybr a ddogfennir yw mewnforio'r CA hwnnw i ACM a'i ddewis ar gyfer rôl y cleient.

Olrheiniwch y methiant yn ôl i gam

Nodwch pa gam sy'n methu cyn i chi amnewid unrhyw beth. Os yw'r cleient yn gwrthod y pwynt terfyn, ARN y gweinydd neu ei gadwyn yw'r drwgdybiaeth. Os yw'r pwynt terfyn yn gwrthod y cleient, edrychwch ar dystysgrif y cleient, ei chyhoeddwr a'r dull dilysu a ddewiswyd. Os yw'r twnnel yn codi ac mae traffig yn dal i fethu, rydych chi wedi mynd heibio tystysgrifau'n llwyr.

Amnewidiwch un gwrthrych ar y tro, oherwydd mae cyfnewid y ddau ben ar unwaith yn atgynhyrchu'r amwysedd y gwnaethoch ddechrau ag ef.

Gwiriwch hefyd algorithmau allwedd a gefnogir y gwasanaeth a'r estyniadau gofynnol ar gyfer y rôl benodol. Nid yw tystysgrif sy'n bodloni gwefan gyhoeddus yn brawf bod pob gofyniad hunaniaeth Client VPN wedi'i fodloni.

Ysgrifennwch pa ARN y mae pob maes yn ei ddal, pa CA a gyhoeddodd y dystysgrif cleient, a pha ddull dilysu y mae'r pwynt terfyn yn ei ddefnyddio mewn gwirionedd. Mae tair llinell o gofnod yn troi'r adnewyddiad nesaf yn dasg yn lle ymchwiliad.