Atestilo videbla en Windows, sed OpenVPN ne povas uzi ĝian ŝlosilon

La atestilo videblas en la Windows-atestila rigardilo, kaj tamen la kliento ne povas uzi ĝin. Vidi atestilon pruvas nur, ke publika objekto ekzistas en konservejo. Ĝi ne pruvas, ke la konekta procezo trovas la kongruan privatan ŝlosilon aŭ ke ĝi rajtas uzi ĝin.

Tri objektoj devas koincidi. La elektita atestilo, la privata ŝlosilo malantaŭ ĝi kaj la konto sub kiu la kliento ruliĝas estas apartaj aferoj, kaj ĉiu povas malsukcesi per si mem.

Tri objektoj, tri respondoj

La komunuma versio de OpenVPN por Windows dokumentas CryptoAPI-konservejan selektilon, cryptoapicert, kiu akceptas fingrospuron. La valoro devas identigi la atestilon, kiun vi vere intencas uzi, ne alian kun simila nomo. Aliaj OpenVPN-bazitaj aplikaĵoj povas havi tute alian importan modelon, do la selektilo estas pruvo nur por tiu konstruo, kiu dokumentas ĝin. Konfirmu, ke via kliento efektivigas la mekanismon, antaŭ ol vi sencimigi ion pli malsupre.

Se la konstruo ne subtenas la selektilon, la solvo estas alia profila formato, ne alia atestilo.

Ĉu la selektilo kondukas al la ĝusta identeco

Publika atestilo povas esti importita sen sia privata ŝlosilo. La rigardilo montras ĝin en ambaŭ kazoj, kaj tial ĉi tiu fiasko aspektas kvazaŭ la kliento ignoras atestilon, kiu evidente ĉeestas. Kontrolu la ŝlosilan ligon, ne nur la ĉeeston de la ero.

Renovigita atestilo aldonas duan kaptilon. Ambaŭ eroj povas resti en la konservejo, dum la profilo ankoraŭ nomas la pli malnovan fingrospuron, kaj la kliento daŭre elektas la identecon, kiun vi volis forigi.

Kontrolu, al kiu identeco la selektilo kondukas, antaŭ ol rigardi permesojn. Malĝusta fingrospuro fiaskas same kiel mankanta ŝlosilo.

Ĉu ĉi tiu konto povas uzi la ŝlosilon

Aliro al la ŝlosilo estas laŭ konto. Servo, planita tasko kaj interaga labortabla seanco povas havi malsamajn vidpunktojn al la konservejo kaj malsamajn permesojn uzi privatan ŝlosilon. Tio, ke la atestilo videblas en via propra seanco, diras nenion pri la serva konto.

Hardvar-apogita ŝlosilo eble bezonas sian provizanton kaj konfirman paŝon. Servo, kiu ne povas montri inviton, ne estos savita per eksporto de la ŝlosilo al ordinara dosiero.

Legu la lokan eraron antaŭ ol ŝanĝi ion ajn. Elekta fiasko, subskriba fiasko kaj malakcepto de la servilo estas tri malsamaj rezultoj. Nur la unuaj du estas lokaj. La tria signifas, ke la ŝlosilo funkciis kaj ke la servilo decidis kontraŭ la atestilo.

Loka uzo ne estas malproksima akcepto

Loka sukceso ne estas rajtigo. Post kiam la kliento subskribas per sia ŝlosilo, la servilo ankoraŭ taksas la eldoninton, la validecan fenestron, la rolon kaj sian alirpolitikon. Alia atestilo de la sama CA ne aŭtomate portas la samajn VPN-rajtojn.

La servilo bezonas la fidĉenon, ne kopion de la privata ŝlosilo de la kliento. Sendi la ŝlosilon al la servilo neniam estas la riparo por kontrola problemo.

Traktu la fiaskon laŭ ordo

Konservu la ĝustan erartekston. Mankanta ŝlosila permeso ne devus fariĝi ŝanĝo de CA, kaj malakcepto de la servilo ne devus fariĝi riparo de la konservejo. Ĉiu havas sian propran pruvon.

Laboru laŭ la ordo, en kiu la fiasko aperas: selektilo, ŝlosilo, konto, poste servila politiko. La komunuma klienta referenco dokumentas la Windows-konservejan selektilon por la versio, kiun vi rulas.