Nid yw copïo tystysgrif VPN yn copïo'r allwedd

Mae'r daith yn dechrau ar restr tystysgrifau'r cleient, lle mae'r cofnod yn dangos enw, dyroddwr a dyddiad dod i ben a dim byd arall. Allforiwch hi, mewnforiwch hi ar yr ail ddyfais, a gwrthodir y cysylltiad oherwydd na all y cleient brofi ei fod yn berchen ar yr allwedd breifat. Copïwyd y ffeil yn gyflawn; y camgymeriad yw disgwyl i dystysgrif gario ei hallwedd ei hun. Darllenwch y deialog allforio cyn dewis y fformat, yna archwiliwch y ffeil a gawsoch mewn gwirionedd.

Dau glic, dau arteffact hollol wahanol.

Darllenwch y deialog allforio, nid ôl-ddodiad y ffeil

Mae allforiad tystysgrif DER neu PEM yn cynnwys allwedd gyhoeddus a'r honiadau hunaniaeth llofnodwyd, sef yr hyn y mae gweinydd ei angen i ymddiried ynnoch chi a'r hyn y mae cleient ei angen i ddilysu gweinydd. Mae bwndel PKCS#12 yn gynhwysydd a all ddal tystysgrif, ei gadwyn a'r allwedd breifat gyfatebol, wedi ei diogelu gan gyfrinair, er y gellir ei greu heb yr allwedd hefyd.

Dim ond amgodio testun yw PEM, nid addewid am y cynnwys. Gall yr un ôl-ddodiad ddisgrifio un dystysgrif neu ffeil â sawl bloc wedi eu labelu, a'r opsiynau allforio sy'n penderfynu pa un.

Felly'r cwestiwn defnyddiol yw byth pa estyniad a gawsoch, ond pa flociau sydd yn y ffeil. Mae bwndel a allforiwyd heb ei allwedd yn dal i fod yn fwndel. Gwiriwch y cynnwys yn hytrach na phoblogrwydd y fformat.

Archwiliwch yr hyn a gawsoch mewn gwirionedd

Chwiliwch am y labeli cyn mewnforio unrhyw beth, yna darllenwch feysydd y dystysgrif i gadarnhau pa hunaniaeth yr ydych yn ei dal. Rheswch y gwiriadau ar y ffeil a fewnforir mewn gwirionedd. Ailadroddwch nhw ar ôl unrhyw ail-allforio, oherwydd gall y opsiynau fod yn wahanol.

grep -E 'BEGIN (CERTIFICATE|PRIVATE KEY|ENCRYPTED PRIVATE KEY)' bundle.pem
openssl x509 -in client.crt -noout -subject -issuer -dates
openssl pkey -in client.key -noout -text | head -5
openssl pkcs12 -info -in client.p12 -noout

Mae allforiad â bloc tystysgrif yn unig yn wrthrych cyhoeddus ac ni all ddilysu. Mae bloc allwedd heb dystysgrif yn eich gadael heb y gadwyn y mae'r gweinydd yn ei disgwyl. Mae allbwn gwybodaeth PKCS#12 hefyd yn nodi a oes allwedd yn bresennol, sy'n datrys y cwestiwn ar gyfer y fformat hwnnw. Mae hefyd yn enwi'r algorithm a maint yr allwedd, ac yn methu'n llwyr pan nad oes allwedd.

Peidiwch byth â phastio ffeil sy'n cynnwys allwedd breifat i edefyn cymorth, i draciwr materion nac i sgwrs, hyd yn oed pan fydd yn edrych fel y dystysgrif yr oeddech eisoes yn ei rhannu. Mae sgrinluniau o banel allwedd yn haeddu'r un gofal.

Gall yr allwedd fyw yn rhywle na allwch ei gopïo

Ar ddyfeisiau a reolir gall yr allwedd breifat fod yng nghadwyn allweddi'r system weithredu, mewn tocyn caledwedd neu mewn enclaf diogel, gyda pholisi sy'n ei nodi fel un na ellir ei allforio. Yna mae rheolwr tystysgrifau yn dangos y gwrthrych cyhoeddus tra bo'r gyfrinach yn aros yn ei lle, ac ni fydd unrhyw orchymyn allforio yn cynhyrchu copi cludadwy. Mae cofrestru drwy reoli dyfeisiau symudol yn aml yn gweithio felly o ran dyluniad.

Rheolaeth yw hon, nid rhwystr i'w osgoi. Nid yw'n bosibl ailadeiladu allwedd breifat o'r dystysgrif gyhoeddus, ac mae unrhyw offeryn sy'n honni gwneud hynny yn gwneud rhywbeth arall.

Cofrestrwch hunaniaeth newydd yn lle copïo

Y llwybr a gefnogir fel arfer yw cofrestru hunaniaeth ar wahân ar gyfer y ddyfais newydd a dirymu'r hen un pan fydd yn ymddeol, fel y gellir tynnu pob dyfais yn ôl yn annibynnol. Lle bydd allforiad â'r allwedd wedi ei gymeradwyo mewn gwirionedd, tridiwch y ffeil sy'n deillio a'i chyfrinair fel cymwysterau: wedi eu hamgryptio wrth orffwys, wedi eu trosglwyddo dros sianel ddibynadwy, a'u dileu pan fydd y cofrestriad wedi gorffen.

Gwiriwch drwy ddilysu â'r hunaniaeth a fewnforiwyd, nid drwy wylio'r mewnforiad yn llwyddo. Nid yw cleient sy'n derbyn tystysgrif gyhoeddus i'w storfa wedi profi dim am yr allwedd.

Gorffennwch drwy gadarnhau bod y gweinydd yn derbyn yr hunaniaeth newydd a bod yr hen un yn dal i ymddwyn fel y mae'r polisi'n bwriadu. Mae hynny'n cwblhau'r daith â thystiolaeth, yn hytrach nag â ffeil sy'n edrych yn gywir.