Ένας σωστός κωδικός VPN δεν μπορεί να αντικαταστήσει ένα πιστοποιητικό που λείπει

Τα διαπιστευτήρια είναι σωστά, το προφίλ εισάγεται καθαρά και η σύνδεση εξακολουθεί να αποτυγχάνει πριν ολοκληρωθεί ο έλεγχος ταυτότητας. Στα Windows το μήνυμα μπορεί να είναι σφάλμα 798, για πιστοποιητικό που δεν βρέθηκε για τη μέθοδο EAP. Στο OpenVPN το αρχείο καταγραφής του πελάτη δείχνει χειραψία TLS που δεν ικανοποιεί ποτέ το διακομιστή. Και τα δύο περιγράφουν το ίδιο απόν αντικείμενο: ένα πιστοποιητικό πελάτη που ο πελάτης έπρεπε να παρουσιάσει.

Ένας κωδικός αποδεικνύει γνώση ενός μυστικού· ένα πιστοποιητικό αποδεικνύει κατοχή ενός κλειδιού, και το ένα δεν αντικαθιστά το άλλο.

Ο κωδικός δεν ήταν ποτέ το πρόβλημα

Το σφάλμα 798 είναι αποτυχία αναζήτησης πιστοποιητικού. Ζητήθηκε από τον πελάτη πιστοποιητικό που να ταιριάζει με τη ρυθμισμένη μέθοδο ελέγχου ταυτότητας, εκείνος έψαξε στο χώρο αποθήκευσής του και δεν βρήκε τίποτα χρήσιμο. Αυτό μπορεί να σημαίνει ότι το πιστοποιητικό λείπει, υπάρχει χωρίς το ιδιωτικό του κλειδί, έχει λήξει ή είναι αποθηκευμένο εκεί όπου η αναζήτηση δεν φτάνει. Η επανάληψη του κωδικού δεν μπορεί να αλλάξει καμία από αυτές τις συνθήκες, γι' αυτό το σφάλμα επιστρέφει ακόμη και με σωστά διαπιστευτήρια.

Διαβάστε το μήνυμα πριν ενεργήσετε με βάση αυτό. Η απόρριψη διαπιστευτηρίων, η αποτυχία αναζήτησης πιστοποιητικού και η αποτυχία χειραψίας TLS είναι τρία διαφορετικά ευρήματα, και μόνο ένα αφορά τον κωδικό.

Τι πρέπει να περιέχει ο χώρος αποθήκευσης του πελάτη

Εμπλέκονται δύο αντικείμενα. Το πιστοποιητικό πελάτη πρέπει να είναι εγκατεστημένο για τον χρήστη που εκτελεί τον πελάτη VPN, μαζί με το ιδιωτικό του κλειδί, και η εκδίδουσα ρίζα πρέπει να είναι αξιόπιστη. Ένα αρχείο .cer περιέχει μόνο το δημόσιο πιστοποιητικό, επομένως δεν μπορεί να πιστοποιήσει τίποτα από μόνο του. Στη διαχείριση πιστοποιητικών των Windows, η ταυτότητα του πελάτη ανήκει στο προσωπικό χώρο αποθήκευσης του τρέχοντος χρήστη και η ρίζα στο χώρο αποθήκευσης αξιόπιστων ριζών.

Η εγκατάσταση της ταυτότητας στο χώρο αποθήκευσης του υπολογιστή, ή μόνο στο χώρο αποθήκευσης ριζών, δεν ικανοποιεί αναζήτηση που στοχεύει στον προσωπικό χώρο αποθήκευσης του χρήστη. Ελέγξτε το χώρο αποθήκευσης, τη σημαία ιδιωτικού κλειδιού και τις ημερομηνίες ισχύος μαζί, και μετά επανεκκινήστε τον πελάτη ώστε να διαβάσει ξανά το χώρο αποθήκευσης.

Δύο προϊόντα, το ίδιο απόν διαπιστευτήριο

Οι διακομιστές OpenVPN απαιτούν πιστοποιητικό πελάτη εξ ορισμού. Η προσθήκη auth-user-pass σε έναν πελάτη στέλνει όνομα χρήστη και κωδικό, και η χειραψία TLS ζητά ακόμη πιστοποιητικό, οπότε ένας κωδικός μόνος του δεν μπορεί να ολοκληρώσει τη σύνδεση υπό verify-client-cert require. Ο διακομιστής μπορεί να ρυθμιστεί ώστε να μην απαιτεί κανένα, γεγονός που καθιστά τον κωδικό το μοναδικό διαπιστευτήριο του πελάτη και αποτελεί πραγματική μείωση της ισχύος. Ένα σενάριο shell πίσω από το auth-user-pass-verify μπορεί να επικυρώνει διαπιστευτήρια, και απαιτεί ενεργοποιημένη εκτέλεση σεναρίων, γεγονός που το καθιστά πιο επικίνδυνο σχεδιασμό από ένα σωστό σύστημα ελέγχου ταυτότητας.

Ένα προφίλ μόνο με κωδικό εξαρτάται επίσης από επιλογές που ωθούνται, οι οποίες με τη σειρά τους εξαρτώνται από την ενεργοποίηση του μηχανισμού έλξης.

Μην διορθώνετε πιστοποιητικό που λείπει απενεργοποιώντας ελέγχους

Ο πειρασμός είναι να χαλαρώσετε την επαλήθευση ώστε να εξαφανιστεί το μήνυμα. Αυτό αφαιρεί τον έλεγχο που έκανε τη δουλειά του και αφήνει μια σύνδεση που δεν αποδεικνύει πλέον αυτό που ισχυρίζεται. Αν η πύλη άλλαξε πρόσφατα τη ρίζα της, κατεβάστε ξανά το πακέτο του πελάτη αντί να επεξεργαστείτε το προφίλ, γιατί το παλιό πακέτο μπορεί να φέρει ακόμη την προηγούμενη ρίζα. Αν η επιλογή ελέγχου ταυτότητας με πιστοποιητικό λείπει από τον επεξεργαστή προφίλ, η εγκατεστημένη έκδοση των Windows ίσως δεν εκθέτει αυτή τη μέθοδο· ενημερώστε το σύστημα αντί να επεξεργάζεστε το XML με το χέρι.

Καταγράψτε ποιος χώρος αποθήκευσης περιείχε το πιστοποιητικό, ποιος χρήστης εκτέλεσε τον πελάτη και αν υπήρχε το ιδιωτικό κλειδί. Αυτά τα τρία εξηγούν σχεδόν κάθε περίπτωση αυτής της αποτυχίας.

Ο κωδικός ήταν εντάξει. Το διαπιστευτήριο που χρειαζόταν πραγματικά η μέθοδος βρισκόταν αλλού.