Kiun CA-dosieron enhavas OpenVPN-profilo nur kun pasvorto?

Trairu kvar demandojn laŭvice kaj la CA-dialogo ĉesas esti dusenca. Kiun materialon la administranto efektive eldonis, kion la profilo jam enhavas, kiun kampon ĝi demandas, kaj kio okazas post kiam la dosiero ŝargiĝas? Haltu ĉe la unua demando, kiun vi ne povas respondi laŭ la propraj instrukcioj de la administranto, ĉar diveni preter ĝi estas ĝuste tio, kio igas publikan CA-atestilon pariĝi kun privata ŝlosilo, kiu neniam devintus forlasi la servilon.

La ordo gravas: la lastaj du demandoj nur sencas post kiam vi scias, kiu materialo devas ekzisti.

Komencu per tio, kion la profilo jam enhavas

Malfermu la profilon en tekstredaktilo kaj serĉu blokon ca antaŭ ol serĉi dosieron. Enkorpigita bloko ca kun la publika CA de la administranto signifas, ke la profilo estas memstara, kaj kliento, kiu ankoraŭ petas CA-dosieron, eble legas alian profilon aŭ nekompletan importon. Se anstataŭe la profilo havas linion ca montrantan al vojo, tiu vojo estas relativa al la labordosierujo de la kliento en iuj integriĝoj kaj absoluta en aliaj. Notu, kiun formon vi havas, antaŭ ol ŝanĝi ion ajn.

ca /absolute/path/operator-ca.crt
auth-user-pass
remote-cert-tls server

Kontrolu la liveritan pakaĵon por la dosieroj, al kiuj la profilo referencas: CA-atestilo, foje aparta klienta atestilo kaj ŝlosilo, kaj eble dosiero tls-auth aŭ tls-crypt. Profilo, kiu referencas kvar dosierojn sed alvenas kun du, estas nekompleta, kaj neniu kvanto da montrado al kampoj tion ripetas. Petu de la administranto la mankantan parton anstataŭ anstataŭigi ĝin per atestilo, kiun vi hazarde havas.

Apartigu kvar specojn de materialo

La CA-atestilo estas publika materialo uzata por kontroli la identecon de la servilo. Klienta atestilo identigas la uzanton aŭ aparaton al la servilo. Privata ŝlosilo estas la sekreta duono de tiu klienta atestilo, kaj ĝi neniam devas esti la subskriba ŝlosilo de la CA aŭ servila ŝlosilo. Materialo tls-auth aŭ tls-crypt estas aparta komuna sekreto, kiu protektas la regan kanalon. Tiuj kvar ne estas interŝanĝeblaj, kaj direkti la kampon CA al klienta atestilo produktas kontrolmalsukceson, kiu aspektas kiel konfidoproblemo.

Aŭtentikigo nur per pasvorto ŝanĝas, kiun el la kvar vi bezonas, ne kion ili signifas. Kun auth-user-pass kaj remote-cert-tls server la kliento ankoraŭ kontrolas la servilon kontraŭ CA, tial la kampo CA aperas eĉ kiam neniu klienta atestilo ekzistas. La politiko de la administranto decidas, ĉu ankaŭ klienta atestilo estas postulata, kaj neniu dialogo povas tion diri al vi.

Direktu la klienton al la konfidodosiero

Elektu la CA-atestildosieron mem, ne la dosierujon, kiu enhavas ĝin, kaj ne pakaĵon .p12, kiu enhavas klientan identecon. En Windows la voja sintakso kaj la dosierelektilo kondutas malsame ol la Linux-ekzemploj en la plej multaj gvidiloj, do uzu tion, kion akceptas la instalita kliento, kaj konfirmu, ke la dosiero estas legebla de la konto, kiu ĝin rulas. Permesa problemo kaj mankanta dosiero aspektas same en la dialogo sed produktas malsamajn protokolajn liniojn. Post la elekto remalfermu la profilagordojn por konfirmi, ke la kliento konservis la elekton.

<ca>
-----BEGIN CERTIFICATE-----
...operator-provided public CA...
-----END CERTIFICATE-----
</ca>

Se la kliento subtenas enkorpigitajn blokojn, preferu la enkorpigitan profilon de la administranto al permane kunmetita. Enkorpigita materialo vojaĝas kun la profilo kaj postvivas reimporton, dum absoluta vojo rompiĝas en la momento, kiam la profilo moviĝas al alia maŝino.

Legu la sekvan eraron, ne la saman

La celo de liveri la ĝustan CA estas ŝanĝi la eraron, ne igi ĝin malaperi. Servila identeca malsukceso post kiam la CA ŝargiĝis signifas, ke la atestilo ne kongruis kun la atendata nomo aŭ kun la atendo remote-cert-tls, kio estas alia riparo ol pasvorta rifuzo. Pasvorta rifuzo signifas, ke la TLS-tavolo sukcesis kaj la legitimilo estas malĝusta. Konservu la unuan novan mesaĝon; ĝi estas la utila.

Kliento, kiu konektiĝas sed atingas nenion, tute preterpasis konfidon kaj nun frontas demandon pri enkursigado aŭ DNS.

Neniam malŝaltu kontroladon por preterpasi tiun dialogon. Kliento, kiu akceptas iun ajn atestilon, havas neniun kialon peti CA, kaj la tunelo, kiun ĝi konstruas, ne estas tiu, kiun la administranto intencis.