Certifikatet er synligt i Windows, men OpenVPN kan ikke bruge dets nøgle

Certifikatet er synligt i Windows-certifikatfremviseren, og klienten kan stadig ikke bruge det. At se et certifikat beviser kun, at der findes et offentligt objekt i et lager. Det beviser ikke, at forbindelsesprocessen kan finde den matchende private nøgle, eller at den har lov til at bruge den.

Tre objekter skal passe sammen. Det valgte certifikat, den private nøgle bag det og den konto, klienten kører under, er forskellige ting, og hver af dem kan fejle på egen hånd.

Tre objekter, tre svar

Fællesskabsudgaven af OpenVPN på Windows dokumenterer en CryptoAPI-lagervælger, cryptoapicert, som tager et fingeraftryk. Værdien skal pege på det certifikat, du faktisk vil bruge, ikke et med et lignende navn. Andre OpenVPN-baserede programmer kan have en helt anden importmodel, så vælgeren er kun bevis for den build, der dokumenterer den. Bekræft, at din klient implementerer mekanismen, før du fejlfinder noget længere fremme.

Hvis builden ikke understøtter vælgeren, er løsningen et andet profilformat, ikke et andet certifikat.

Fører vælgeren til den rigtige identitet

Et offentligt certifikat kan importeres uden sin private nøgle. Fremviseren viser det under alle omstændigheder, og derfor ser denne fejl ud som om klienten ignorerer et certifikat, der tydeligt er der. Kontrollér nøgletilknytningen, ikke bare om posten findes.

Et fornyet certifikat tilføjer en anden fælde. Begge poster kan ligge i lageret, mens profilen stadig angiver det ældre fingeraftryk, og klienten bliver ved med at vælge den identitet, du ville udfase.

Kontrollér, hvilken identitet vælgeren peger på, før du ser på tilladelser. Et forkert fingeraftryk fejler på samme måde som en manglende nøgle.

Kan denne konto bruge nøglen

Nøgleadgang gælder per konto. En tjeneste, en planlagt opgave og en interaktiv skrivebordssession kan have forskellige lagervisninger og forskellige tilladelser til at bruge en privat nøgle. At certifikatet er synligt i din egen session siger intet om tjenestekontoen.

En hardwareunderstøttet nøgle kan kræve sin udbyder og et bekræftelsestrin. En tjeneste, der ikke kan vise en prompt, reddes ikke ved at eksportere nøglen til en almindelig fil.

Læs den lokale fejl, før du ændrer noget. En valgfejl, en signeringsfejl og en afvisning fra serveren er tre forskellige udfald. Kun de to første er lokale. Det tredje betyder, at nøglen virkede, og at serveren besluttede sig imod certifikatet.

Lokal brug er ikke fjernaccept

Lokal succes er ikke autorisation. Når klienten først har signeret med sin nøgle, vurderer serveren stadig udstederen, gyldighedsvinduet, rollen og sin adgangspolitik. Et andet certifikat fra samme CA bærer ikke automatisk de samme VPN-rettigheder.

Serveren har brug for tillidskæden, ikke en kopi af klientens private nøgle. At sende nøglen til serveren er aldrig reparationen på et verifikationsproblem.

Arbejd fejlen igennem i rækkefølge

Behold den præcise fejltekst. En manglende nøgletilladelse bør ikke blive til en CA-ændring, og en afvisning fra serveren bør ikke blive til en lagerreparation. Hver af dem har sine egne beviser.

Arbejd i den rækkefølge, fejlen viser sig: vælger, nøgle, konto og derefter serverpolitik. Fællesskabets klientreference dokumenterer Windows-lagervælgeren for den version, du kører.