AWS Client VPN: certificado de servidor frente al papel del certificado de cliente
El certificado de servidor del endpoint demuestra el servicio. La autenticación mutua añade identidades por cliente y confianza en la CA sin compartir la clave del servidor.
Un endpoint de Client VPN siempre necesita un certificado TLS de servidor. Esa es la identidad que presenta el endpoint gestionado cuando un cliente se conecta. Es un objeto distinto de los certificados que presentan los clientes individuales cuando se usa autenticación mutua. Confundir ambos es la razón más común por la que una configuración de ACM por lo demás correcta sigue fallando en la primera conexión.
Aquí hay un recorrido desde la consola hacia fuera, en el orden en que una conexión lo atraviesa realmente.
Dos papeles, un endpoint
El endpoint posee una identidad de servidor y, opcionalmente, una forma de verificar identidades de clientes. Ambas se configuran por separado. Una decide si el cliente puede confiar en el servicio; la otra decide si el servicio acepta al cliente.
| Material | Purpose | Where it lives |
|---|---|---|
| Server certificate and private key | The managed endpoint proves its TLS identity | ACM, in the endpoint's Region |
| Client certificate and matching key | An individual client proves its identity | On the device |
| CA trust material | The verifier checks the issuer chain | Selected for the client role |
Lea la tabla como tres requisitos independientes en lugar de un solo certificado. El certificado de servidor y su clave privada se quedan con el servicio. Un certificado de cliente y su clave privada correspondiente viven en el dispositivo. El material de la CA es lo que usa un verificador para comprobar la cadena. Solo la fila central pertenece alguna vez a un portátil.
Qué hace el certificado de servidor de ACM
Al crear el endpoint, el certificado de servidor debe estar disponible en ACM en la misma región que el endpoint. La consola pide un ARN, y ese ARN debe resolverse allí. ACM puede contener un certificado que haya aprovisionado con validación de dominio, o uno que haya importado junto con su clave y cadena. Ambos funcionan en este papel; difieren en la renovación y en quién posee la clave privada.
Elija la ruta de aprovisionamiento que coincida con quién puede renovar el certificado, no la que casualmente produjo un archivo de aspecto válido.
Qué añade la autenticación mutua
Seleccionar autenticación de cliente basada en certificados añade una segunda pregunta: qué clientes pueden conectarse siquiera. Cada cliente presenta su propio certificado y demuestra poseer la clave privada correspondiente. Las identidades separadas son lo que hace posible más adelante una revocación selectiva. Copiar una clave de cliente en cada dispositivo descarta esa propiedad en silencio, incluso cuando el certificado de servidor se obtuvo a la perfección.
El método de autenticación del endpoint es una elección, no un requisito universal.
Active Directory y la autenticación federada responden a la misma pregunta por otros medios. Una receta de certificado mutuo no es automáticamente el diseño de inicio de sesión para esas implementaciones, y la verificación TLS del servidor sigue en pie independientemente de cómo se admita al usuario.
Por qué el mismo ARN de CA no es compartir claves
AWS documenta que, cuando los certificados de servidor y de cliente los emite la misma CA, el ARN del certificado de servidor también puede usarse para la selección del certificado de cliente. Esa frase trata de en qué cadena confía el endpoint para la verificación. No dice a los clientes que usen la clave privada del servidor. Un portátil sigue necesitando su propio certificado de cliente y su propia clave correspondiente.
Cuando la CA del cliente es un emisor distinto, la ruta documentada es importar esa CA en ACM y seleccionarla para el papel de cliente.
Remontar el fallo hasta una etapa
Identifique qué etapa falla antes de reemplazar nada. Si el cliente rechaza el endpoint, el ARN del servidor o su cadena son los sospechosos. Si el endpoint rechaza al cliente, mire el certificado de cliente, su emisor y el método de autenticación seleccionado. Si el túnel se levanta y el tráfico sigue fallando, ya ha pasado de los certificados.
Reemplace un objeto a la vez, porque cambiar ambos extremos a la vez reproduce la ambigüedad con la que empezó.
Compruebe también los algoritmos de clave admitidos y las extensiones requeridas del servicio para el papel concreto. Un certificado que satisface un sitio web público no es prueba de que se hayan cumplido todos los requisitos de identidad de Client VPN.
Anote qué ARN contiene cada campo, qué CA emitió el certificado de cliente y qué método de autenticación usa realmente el endpoint. Tres líneas de registro convierten la próxima renovación en una tarea en lugar de una investigación.