Το πιστοποιητικό φαίνεται στα Windows αλλά το OpenVPN δεν μπορεί να χρησιμοποιήσει το κλειδί του

Το πιστοποιητικό φαίνεται στην προβολή πιστοποιητικών των Windows και ο πελάτης εξακολουθεί να μην μπορεί να το χρησιμοποιήσει. Το να βλέπεις ένα πιστοποιητικό αποδεικνύει μόνο ότι υπάρχει δημόσιο αντικείμενο σε κάποια αποθήκη. Δεν αποδεικνύει ότι η διεργασία σύνδεσης βρίσκει το αντίστοιχο ιδιωτικό κλειδί ή ότι επιτρέπεται να το χρησιμοποιήσει.

Τρία αντικείμενα πρέπει να ταιριάξουν. Το επιλεγμένο πιστοποιητικό, το ιδιωτικό κλειδί πίσω από αυτό και ο λογαριασμός κάτω από τον οποίο εκτελείται ο πελάτης είναι ξεχωριστά πράγματα και καθένα μπορεί να αποτύχει μόνο του.

Τρία αντικείμενα, τρεις απαντήσεις

Η κοινοτική έκδοση του OpenVPN στα Windows τεκμηριώνει έναν επιλογέα αποθήκης CryptoAPI, cryptoapicert, που δέχεται αποτύπωμα. Η τιμή πρέπει να προσδιορίζει το πιστοποιητικό που πραγματικά σκοπεύετε να χρησιμοποιήσετε, όχι κάποιο με παρόμοιο όνομα. Άλλες εφαρμογές βασισμένες στο OpenVPN μπορεί να έχουν εντελώς διαφορετικό μοντέλο εισαγωγής, οπότε ο επιλογέας αποτελεί απόδειξη μόνο για την έκδοση που τον τεκμηριώνει. Επιβεβαιώστε ότι ο πελάτης σας υλοποιεί τον μηχανισμό πριν αποσφαλματώσετε οτιδήποτε πιο κάτω.

Αν η έκδοση δεν υποστηρίζει τον επιλογέα, η λύση είναι διαφορετική μορφή προφίλ, όχι διαφορετικό πιστοποιητικό.

Οδηγεί ο επιλογέας στη σωστή ταυτότητα

Ένα δημόσιο πιστοποιητικό μπορεί να εισαχθεί χωρίς το ιδιωτικό του κλειδί. Η προβολή το δείχνει και στις δύο περιπτώσεις, και γι’ αυτό αυτή η αποτυχία μοιάζει με πελάτη που αγνοεί ένα πιστοποιητικό το οποίο είναι προφανώς εκεί. Ελέγξτε τη συσχέτιση κλειδιού, όχι μόνο την παρουσία της καταχώρισης.

Ένα ανανεωμένο πιστοποιητικό προσθέτει μια δεύτερη παγίδα. Και οι δύο καταχωρίσεις μπορούν να παραμείνουν στην αποθήκη ενώ το προφίλ εξακολουθεί να αναφέρει το παλαιότερο αποτύπωμα, και ο πελάτης συνεχίζει να επιλέγει την ταυτότητα που θέλατε να αποσύρετε.

Ελέγξτε σε ποια ταυτότητα οδηγεί ο επιλογέας πριν κοιτάξετε τα δικαιώματα. Ένα λάθος αποτύπωμα αποτυγχάνει με τον ίδιο τρόπο όπως ένα κλειδί που λείπει.

Μπορεί αυτός ο λογαριασμός να χρησιμοποιήσει το κλειδί

Η πρόσβαση στο κλειδί είναι ανά λογαριασμό. Μια υπηρεσία, μια προγραμματισμένη εργασία και μια διαδραστική συνεδρία επιφάνειας εργασίας μπορεί να έχουν διαφορετικές όψεις της αποθήκης και διαφορετικά δικαιώματα χρήσης ενός ιδιωτικού κλειδιού. Το ότι το πιστοποιητικό φαίνεται στη δική σας συνεδρία δεν λέει τίποτα για το λογαριασμό της υπηρεσίας.

Ένα κλειδί με υποστήριξη υλικού μπορεί να χρειάζεται τον πάροχό του και ένα βήμα επιβεβαίωσης. Μια υπηρεσία που δεν μπορεί να εμφανίσει προτροπή δεν σώζεται με εξαγωγή του κλειδιού σε απλό αρχείο.

Διαβάστε το τοπικό σφάλμα πριν αλλάξετε οτιδήποτε. Αποτυχία επιλογής, αποτυχία υπογραφής και απόρριψη από το διακομιστή είναι τρία διαφορετικά αποτελέσματα. Μόνο τα δύο πρώτα είναι τοπικά. Το τρίτο σημαίνει ότι το κλειδί λειτούργησε και ο διακομιστής αποφάσισε εναντίον του πιστοποιητικού.

Η τοπική χρήση δεν είναι αποδοχή από το διακομιστή

Η τοπική επιτυχία δεν είναι εξουσιοδότηση. Αφού ο πελάτης υπογράψει με το κλειδί του, ο διακομιστής εξακολουθεί να αξιολογεί τον εκδότη, το παράθυρο ισχύος, το ρόλο και την πολιτική πρόσβασής του. Ένα διαφορετικό πιστοποιητικό από την ίδια αρχή δεν φέρει αυτόματα τα ίδια δικαιώματα VPN.

Ο διακομιστής χρειάζεται την αλυσίδα εμπιστοσύνης, όχι αντίγραφο του ιδιωτικού κλειδιού του πελάτη. Η αποστολή του κλειδιού στο διακομιστή δεν είναι ποτέ η διόρθωση για πρόβλημα επαλήθευσης.

Αντιμετωπίστε την αποτυχία με σειρά

Κρατήστε το ακριβές κείμενο του σφάλματος. Η έλλειψη δικαιώματος κλειδιού δεν πρέπει να γίνει αλλαγή αρχής και η απόρριψη από το διακομιστή δεν πρέπει να γίνει επισκευή αποθήκης. Κάθε περίπτωση έχει τις δικές της αποδείξεις.

Εργαστείτε με τη σειρά που εμφανίζεται η αποτυχία: επιλογέας, κλειδί, λογαριασμός και μετά πολιτική διακομιστή. Η κοινοτική αναφορά πελάτη τεκμηριώνει τον επιλογέα αποθήκης των Windows για την έκδοση που εκτελείτε.