AWS Client VPN: πιστοποιητικό διακομιστή και ο ρόλος του πιστοποιητικού πελάτη
Το πιστοποιητικό διακομιστή του τελικού σημείου αποδεικνύει την υπηρεσία. Η αμοιβαία αυθεντικοποίηση προσθέτει ταυτότητες ανά πελάτη και εμπιστοσύνη στην CA χωρίς κοινή χρήση του κλειδιού του διακομιστή.
Ένα τελικό σημείο Client VPN χρειάζεται πάντα πιστοποιητικό διακομιστή TLS. Αυτή είναι η ταυτότητα που παρουσιάζει το διαχειριζόμενο τελικό σημείο όταν συνδέεται ένας πελάτης. Είναι διαφορετικό αντικείμενο από τα πιστοποιητικά που παρουσιάζουν οι μεμονωμένοι πελάτες όταν χρησιμοποιείται αμοιβαία αυθεντικοποίηση. Η σύγχυση των δύο είναι ο συχνότερος λόγος που μια κατά τα άλλα σωστή ρύθμιση ACM αποτυγχάνει στην πρώτη σύνδεση.
Ακολουθεί μια διαδρομή από την κονσόλα προς τα έξω, με τη σειρά που περνά πραγματικά μια σύνδεση.
Δύο ρόλοι, ένα τελικό σημείο
Το τελικό σημείο διαθέτει ταυτότητα διακομιστή και, προαιρετικά, τρόπο επαλήθευσης των ταυτοτήτων των πελατών. Αυτά ρυθμίζονται χωριστά. Το ένα αποφασίζει αν ο πελάτης μπορεί να εμπιστευτεί την υπηρεσία· το άλλο αποφασίζει αν η υπηρεσία δέχεται τον πελάτη.
| Material | Purpose | Where it lives |
|---|---|---|
| Server certificate and private key | The managed endpoint proves its TLS identity | ACM, in the endpoint's Region |
| Client certificate and matching key | An individual client proves its identity | On the device |
| CA trust material | The verifier checks the issuer chain | Selected for the client role |
Διαβάστε τον πίνακα ως τρεις ανεξάρτητες απαιτήσεις και όχι ως ένα πιστοποιητικό. Το πιστοποιητικό διακομιστή και το ιδιωτικό του κλειδί παραμένουν στην υπηρεσία. Ένα πιστοποιητικό πελάτη και το αντίστοιχο ιδιωτικό κλειδί ζουν στη συσκευή. Το υλικό της CA είναι αυτό που χρησιμοποιεί ένας επαληθευτής για να ελέγξει την αλυσίδα. Μόνο η μεσαία γραμμή ανήκει ποτέ σε φορητό υπολογιστή.
Τι κάνει το πιστοποιητικό διακομιστή ACM
Όταν δημιουργείτε το τελικό σημείο, το πιστοποιητικό διακομιστή πρέπει να είναι διαθέσιμο στο ACM στην ίδια περιοχή με το τελικό σημείο. Η κονσόλα ζητά ένα ARN, και αυτό το ARN πρέπει να επιλύεται εκεί. Το ACM μπορεί να κρατά πιστοποιητικό που εκδώσατε με επικύρωση τομέα, ή ένα που εισαγάγατε μαζί με το κλειδί και την αλυσίδα του. Και τα δύο λειτουργούν σε αυτόν τον ρόλο· διαφέρουν στην ανανέωση και στο ποιος κρατά το ιδιωτικό κλειδί.
Επιλέξτε τη διαδρομή παροχής που ταιριάζει με το ποιος μπορεί να ανανεώσει το πιστοποιητικό, όχι εκείνη που τυχαία παρήγαγε ένα αρχείο που φαίνεται έγκυρο.
Τι προσθέτει η αμοιβαία αυθεντικοποίηση
Η επιλογή αυθεντικοποίησης πελάτη βάσει πιστοποιητικού προσθέτει ένα δεύτερο ερώτημα: ποιοι πελάτες μπορούν να συνδεθούν καθόλου. Κάθε πελάτης παρουσιάζει το δικό του πιστοποιητικό και αποδεικνύει ότι κατέχει το αντίστοιχο ιδιωτικό κλειδί. Οι χωριστές ταυτότητες είναι αυτό που καθιστά δυνατή αργότερα την επιλεκτική ανάκληση. Η αντιγραφή ενός κλειδιού πελάτη σε κάθε συσκευή απορρίπτει σιωπηλά αυτή την ιδιότητα, ακόμη κι όταν το πιστοποιητικό διακομιστή έχει αποκτηθεί άψογα.
Η μέθοδος αυθεντικοποίησης του τελικού σημείου είναι επιλογή, όχι καθολική απαίτηση.
Το Active Directory και η ομοσπονδιακή αυθεντικοποίηση απαντούν στο ίδιο ερώτημα με άλλα μέσα. Μια συνταγή αμοιβαίου πιστοποιητικού δεν είναι αυτόματα ο σχεδιασμός σύνδεσης για αυτές τις αναπτύξεις, και η επαλήθευση TLS του διακομιστή παραμένει ανεξάρτητα από το πώς εισάγεται ο χρήστης.
Γιατί το ίδιο ARN της CA δεν είναι κοινή χρήση κλειδιών
Η AWS τεκμηριώνει ότι όταν τα πιστοποιητικά διακομιστή και πελάτη εκδίδονται από την ίδια CA, το ARN του πιστοποιητικού διακομιστή μπορεί να χρησιμοποιηθεί και για την επιλογή του πιστοποιητικού πελάτη. Αυτή η πρόταση αφορά την αλυσίδα που εμπιστεύεται το τελικό σημείο κατά την επαλήθευση. Δεν λέει στους πελάτες να χρησιμοποιήσουν το ιδιωτικό κλειδί του διακομιστή. Ένας φορητός υπολογιστής χρειάζεται ακόμη το δικό του πιστοποιητικό πελάτη και το δικό του αντίστοιχο κλειδί.
Όταν η CA του πελάτη είναι διαφορετικός εκδότης, η τεκμηριωμένη διαδρομή είναι να εισαγάγετε αυτή την CA στο ACM και να την επιλέξετε για τον ρόλο του πελάτη.
Επαναφέρετε την αποτυχία σε ένα στάδιο
Προσδιορίστε ποιο στάδιο αποτυγχάνει πριν αντικαταστήσετε οτιδήποτε. Αν ο πελάτης απορρίπτει το τελικό σημείο, ύποπτο είναι το ARN του διακομιστή ή η αλυσίδα του. Αν το τελικό σημείο απορρίπτει τον πελάτη, κοιτάξτε το πιστοποιητικό πελάτη, τον εκδότη του και τη μέθοδο αυθεντικοποίησης που επιλέχθηκε. Αν η σήραγγα σηκωθεί και η κίνηση αποτυγχάνει ακόμη, έχετε περάσει τα πιστοποιητικά.
Αντικαταστήστε ένα αντικείμενο κάθε φορά, γιατί η αλλαγή και των δύο άκρων μαζί αναπαράγει την ασάφεια με την οποία ξεκινήσατε.
Ελέγξτε επίσης τους υποστηριζόμενους αλγόριθμους κλειδιών και τις απαιτούμενες επεκτάσεις της υπηρεσίας για τον συγκεκριμένο ρόλο. Ένα πιστοποιητικό που ικανοποιεί δημόσιο ιστότοπο δεν αποδεικνύει ότι πληρούνται όλες οι απαιτήσεις ταυτότητας του Client VPN.
Σημειώστε ποιο ARN κρατά κάθε πεδίο, ποια CA εξέδωσε το πιστοποιητικό πελάτη και ποια μέθοδο αυθεντικοποίησης χρησιμοποιεί πραγματικά το τελικό σημείο. Τρεις γραμμές αρχείου μετατρέπουν την επόμενη ανανέωση σε εργασία αντί για έρευνα.