Welche CA-Datei gehört in ein OpenVPN-Profil nur mit Passwort?

Gehen Sie vier Fragen der Reihe nach durch, und der CA-Dialog ist nicht mehr mehrdeutig. Welches Material hat der Betreiber tatsächlich ausgestellt, was enthält das Profil bereits, welches Feld fragt, und was passiert, nachdem die Datei geladen wurde? Halten Sie bei der ersten Frage an, die Sie nicht aus den Anweisungen des Betreibers beantworten können, denn darüber hinaus zu raten ist genau der Weg, auf dem ein öffentliches CA-Zertifikat mit einem privaten Schlüssel gepaart wird, der den Server nie hätte verlassen dürfen.

Die Reihenfolge zählt: Die letzten beiden Fragen ergeben erst Sinn, wenn Sie wissen, welches Material vorhanden sein soll.

Beginnen Sie mit dem, was das Profil bereits enthält

Öffnen Sie das Profil in einem Texteditor und suchen Sie nach einem ca-Block, bevor Sie nach einer Datei suchen. Ein eingebetteter ca-Block mit dem öffentlichen CA des Betreibers bedeutet, dass das Profil eigenständig ist, und ein Client, der dennoch eine CA-Datei verlangt, liest möglicherweise ein anderes Profil oder einen unvollständigen Import. Hat das Profil stattdessen eine ca-Zeile, die auf einen Pfad zeigt, ist dieser Pfad bei manchen Integrationen relativ zum Arbeitsverzeichnis des Clients und bei anderen absolut. Notieren Sie, welche Form Sie haben, bevor Sie etwas ändern.

ca /absolute/path/operator-ca.crt
auth-user-pass
remote-cert-tls server

Prüfen Sie das gelieferte Paket auf die Dateien, auf die das Profil verweist: ein CA-Zertifikat, manchmal ein separates Clientzertifikat und einen Schlüssel und möglicherweise eine tls-auth- oder tls-crypt-Datei. Ein Profil, das auf vier Dateien verweist und mit zwei ankommt, ist unvollständig, und kein noch so häufiges Zeigen auf Felder repariert das. Bitten Sie den Betreiber um das fehlende Teil, statt ein Zertifikat einzusetzen, das Sie zufällig haben.

Trennen Sie vier Arten von Material

Das CA-Zertifikat ist öffentliches Material, das zur Prüfung der Serveridentität dient. Ein Clientzertifikat weist den Benutzer oder das Gerät gegenüber dem Server aus. Ein privater Schlüssel ist die geheime Hälfte dieses Clientzertifikats und darf niemals der Signaturschlüssel der CA oder ein Serverschlüssel sein. tls-auth- oder tls-crypt-Material ist ein separates gemeinsames Geheimnis, das den Steuerkanal schützt. Diese vier sind nicht austauschbar, und das CA-Feld auf ein Clientzertifikat zu richten erzeugt einen Prüffehler, der wie ein Vertrauensproblem aussieht.

Authentifizierung nur mit Passwort ändert, welches der vier Sie brauchen, nicht was sie bedeuten. Mit auth-user-pass und remote-cert-tls server prüft der Client den Server weiterhin gegen eine CA, weshalb das CA-Feld auch dann erscheint, wenn kein Clientzertifikat existiert. Die Richtlinie des Betreibers entscheidet, ob auch ein Clientzertifikat erforderlich ist, und kein Dialog kann Ihnen das sagen.

Richten Sie den Client auf die Vertrauensdatei

Wählen Sie die CA-Zertifikatsdatei selbst, nicht den Ordner, der sie enthält, und kein .p12-Paket, das eine Clientidentität enthält. Unter Windows verhalten sich Pfadsyntax und Dateiauswahl anders als die Linux-Beispiele in den meisten Anleitungen, also verwenden Sie, was der installierte Client akzeptiert, und bestätigen Sie, dass die Datei für das Konto lesbar ist, das ihn ausführt. Ein Berechtigungsproblem und eine fehlende Datei sehen im Dialog gleich aus, erzeugen aber unterschiedliche Protokollzeilen. Öffnen Sie nach der Auswahl die Profileinstellungen erneut, um zu bestätigen, dass der Client die Auswahl behalten hat.

<ca>
-----BEGIN CERTIFICATE-----
...operator-provided public CA...
-----END CERTIFICATE-----
</ca>

Wenn der Client eingebettete Blöcke unterstützt, ziehen Sie das eingebettete Profil des Betreibers einem handzusammengesetzten vor. Eingebettetes Material reist mit dem Profil und übersteht einen erneuten Import, während ein absoluter Pfad in dem Moment bricht, in dem das Profil auf einen anderen Rechner wandert.

Lesen Sie den nächsten Fehler, nicht denselben

Der Sinn des richtigen CA ist, den Fehler zu ändern, nicht ihn verschwinden zu lassen. Ein Fehler der Serveridentität nach dem Laden der CA bedeutet, dass das Zertifikat nicht zum erwarteten Namen oder zur remote-cert-tls-Erwartung passte, was eine andere Reparatur ist als eine Passwortablehnung. Eine Passwortablehnung bedeutet, dass die TLS-Schicht erfolgreich war und die Anmeldedaten falsch sind. Behalten Sie die erste neue Meldung; sie ist die nützliche.

Ein Client, der sich verbindet, aber nichts erreicht, hat das Vertrauen ganz hinter sich gelassen und steht nun vor einer Routing- oder DNS-Frage.

Deaktivieren Sie niemals die Prüfung, um an diesem Dialog vorbeizukommen. Ein Client, der jedes Zertifikat akzeptiert, hat keinen Grund, nach einer CA zu fragen, und der Tunnel, den er aufbaut, ist nicht der, den der Betreiber beabsichtigt hat.