Hvilken CA-fil hører i en OpenVPN-profil med kun adgangskode?

Arbejd dig gennem fire spørgsmål i rækkefølge, og CA-dialogen holder op med at være tvetydig. Hvilket materiale udstedte operatøren egentlig, hvad indeholder profilen allerede, hvilket felt spørger, og hvad sker der, når filen er indlæst? Stop ved det første spørgsmål, du ikke kan besvare ud fra operatørens egne instruktioner, for at gætte videre er netop, hvordan et offentligt CA-certifikat ender med at blive parret med en privat nøgle, der aldrig burde have forladt serveren.

Rækkefølgen betyder noget: de sidste to spørgsmål giver kun mening, når du ved, hvilket materiale der skal findes.

Begynd med det, profilen allerede indeholder

Åbn profilen i en teksteditor, og led efter en ca-blok, før du leder efter en fil. En indlejret ca-blok med operatørens offentlige CA betyder, at profilen er selvstændig, og en klient, der stadig beder om en CA-fil, læser måske en anden profil eller en ufuldstændig import. Hvis profilen i stedet har en ca-linje, der peger på en sti, er den sti relativ til klientens arbejdsmappe i nogle integrationer og absolut i andre. Noter, hvilken form du har, før du ændrer noget.

ca /absolute/path/operator-ca.crt
auth-user-pass
remote-cert-tls server

Kontroller den leverede pakke for de filer, profilen henviser til: et CA-certifikat, nogle gange et separat klientcertifikat og en nøgle og muligvis en tls-auth- eller tls-crypt-fil. En profil, der henviser til fire filer, men ankommer med to, er ufuldstændig, og ingen mængde feltpegning reparerer det. Bed operatøren om den manglende del i stedet for at erstatte den med et certifikat, du tilfældigvis har.

Adskil fire slags materiale

CA-certifikatet er offentligt materiale, der bruges til at verificere serverens identitet. Et klientcertifikat identificerer brugeren eller enheden over for serveren. En privat nøgle er den hemmelige halvdel af dette klientcertifikat, og den må aldrig være CA'ens signeringsnøgle eller en servernøgle. tls-auth- eller tls-crypt-materiale er en separat delt hemmelighed, der beskytter kontrolkanalen. Disse fire kan ikke udskiftes, og at pege CA-feltet på et klientcertifikat giver en verifikationsfejl, der ligner et tillidsproblem.

Godkendelse med kun adgangskode ændrer, hvilken af de fire du har brug for, ikke hvad de betyder. Med auth-user-pass og remote-cert-tls server verificerer klienten stadig serveren mod en CA, og derfor vises CA-feltet, selv når der ikke findes et klientcertifikat. Operatørens politik afgør, om et klientcertifikat også kræves, og ingen dialog kan fortælle dig det.

Peg klienten på tillidsfilen

Vælg selve CA-certifikatfilen, ikke mappen, der indeholder den, og ikke en .p12-pakke, der indeholder en klientidentitet. På Windows opfører stisyntaksen og filvælgeren sig anderledes end Linux-eksemplerne i de fleste vejledninger, så brug det, den installerede klient accepterer, og bekræft, at filen kan læses af den konto, der kører den. Et tilladelsesproblem og en manglende fil ser ens ud i dialogen, men giver forskellige loglinjer. Genåbn profilindstillingerne efter valget for at bekræfte, at klienten har beholdt valget.

<ca>
-----BEGIN CERTIFICATE-----
...operator-provided public CA...
-----END CERTIFICATE-----
</ca>

Hvis klienten understøtter indlejrede blokke, foretræk operatørens indlejrede profil frem for en håndsamlet. Indlejret materiale rejser med profilen og overlever genimport, mens en absolut sti brækker i det øjeblik, profilen flyttes til en anden maskine.

Læs den næste fejl, ikke den samme

Pointen med at levere det korrekte CA er at ændre fejlen, ikke at få den til at forsvinde. En serveridentitetsfejl efter CA'en er indlæst betyder, at certifikatet ikke matchede det forventede navn eller remote-cert-tls-forventningen, hvilket er en anden reparation end en afvisning af adgangskoden. En afvisning af adgangskoden betyder, at TLS-laget lykkedes, og at legitimationsoplysningerne er forkerte. Behold den første nye meddelelse; den er den nyttige.

En klient, der opretter forbindelse, men ikke kan nå noget, er gået helt forbi tillid og står nu over for et routing- eller DNS-spørgsmål.

Deaktiver aldrig verifikation for at komme forbi den dialog. En klient, der accepterer ethvert certifikat, har ingen grund til at spørge om en CA, og den tunnel, den bygger, er ikke den, operatøren havde tænkt sig.