AWS Client VPN: serveri sertifikaat ja kliendi sertifikaadi roll
Lõpp-punkti serverisertifikaat tõestab teenust. Vastastikune autentimine lisab kliendipõhised identiteedid ja CA usalduse, ilma serveri võtit jagamata.
Client VPN-i lõpp-punkt vajab alati TLS-i serverisertifikaati. See on identiteet, mille hallatav lõpp-punkt esitab, kui klient ühendub. See on erinev objekt sertifikaatidest, mille üsikud kliendid esitavad vastastikuse autentimise korral. Nende kahe segamini ajamine on kõige tavalisem põhjus, miks muidu korrektne ACM-i seadistus esimesel ühendusel siiski ebaõnnestub.
Siin on läbivaade konsoolist väljapoole, selles järjekorras, mida ühendus tegelikult läbib.
Kaks rolli, üks lõpp-punkt
Lõpp-punktil on serveri identiteet ja valikuliselt viis klientide identiteedi kontrollimiseks. Neid seadistatakse eraldi. Üks otsustab, kas klient saab teenust usaldada; teine otsustab, kas teenus võtab kliendi vastu.
| Material | Purpose | Where it lives |
|---|---|---|
| Server certificate and private key | The managed endpoint proves its TLS identity | ACM, in the endpoint's Region |
| Client certificate and matching key | An individual client proves its identity | On the device |
| CA trust material | The verifier checks the issuer chain | Selected for the client role |
Lugege tabelit kolme sõltumatu nõudena, mitte ühe sertifikaadina. Serveri sertifikaat ja selle privaatvõti jäävad teenuse juurde. Kliendi sertifikaat ja sellele vastav privaatvõti asuvad seadmes. CA materjal on see, millega kontrollija ahelat kontrollib. Ainult keskmine rida kuulub kunagi sülearvutisse.
Mida ACM-i serverisertifikaat teeb
Lõpp-punkti loomisel peab serverisertifikaat olema ACM-is saadaval samas regioonis kus lõpp-punkt. Konsool küsib ARN-i ja see ARN peab seal lahenduma. ACM võib hoida sertifikaati, mille te domeeni valideerimisega hankisite, või sellist, mille importisite koos võtme ja ahelaga. Mõlemad sobivad sellesse rolli; need erinevad uuendamise poolest ja selle poolest, kelle käes on privaatvõti.
Valige hankimise tee selle järgi, kes saab sertifikaati uuendada, mitte selle järgi, mis juhtumisi andis korrektselt näiva faili.
Mida vastastikune autentimine lisab
Sertifikaadipõhise kliendi autentimise valimine lisab teise küsimuse: millised kliendid tohivad üldse ühenduda. Iga klient esitab oma sertifikaadi ja tõestab vastava privaatvõtme valdamist. Just eraldiseisvad identiteedid teevad hiljem võimalikuks valikulise tühistamise. Ühe kliendivõtme kopeerimine igasse seadmesse heidab selle omaduse vaikselt kõrvale, isegi kui serverisertifikaat on hankitud laitmatult.
Lõpp-punkti autentimismeetod on valik, mitte üleüldine nõue.
Active Directory ja föderaalne autentimine vastavad samale küsimusele muul viisil. Vastastikuse sertifikaadi retsept ei ole nende juurutuste jaoks automaatselt sisselogimise disain ja serveri TLS-i kontroll jääb kehtima sõltumata sellest, kuidas kasutaja sisse lastakse.
Miks sama CA ARN ei ole võtme jagamine
AWS dokumenteerib, et kui serveri- ja kliendisertifikaadid on väljastatud sama CA poolt, saab serverisertifikaadi ARN-i kasutada ka kliendisertifikaadi valikuks. See lause räägib sellest, millist ahelat lõpp-punkt kontrollimisel usaldab. See ei ütle klientidele, et nad kasutaksid serveri privaatvõtit. Sülearvuti vajab endiselt oma kliendisertifikaati ja oma vastavat võtit.
Kui kliendi CA on teine väljastaja, on dokumenteeritud tee importida see CA ACM-i ja valida see kliendi rolli jaoks.
Viige tõrge tagasi etapi juurde
Tehke enne millegi asendamist kindlaks, milline etapp ebaõnnestub. Kui klient lükkab lõpp-punkti tagasi, on kahtlane serveri ARN või selle ahel. Kui lõpp-punkt lükkab kliendi tagasi, vaadake kliendisertifikaati, selle väljastajat ja valitud autentimismeetodit. Kui tunnel tuleb üles ja liiklus ikka ebaõnnestub, olete sertifikaatidest juba möödas.
Asendage üks objekt korraga, sest mõlema otsa korraga vahetamine taastoodab ebaselguse, millega alustasite.
Kontrollige ka teenuse toetatud võtmealgoritme ja nõutavaid laiendusi konkreetse rolli jaoks. Sertifikaat, mis rahuldab avalikku veebisaiti, ei ole tõestus, et kõik Client VPN-i identiteedinõuded on täidetud.
Kirjutage üles, millist ARN-i iga väli hoiab, milline CA väljastas kliendisertifikaadi ja millist autentimismeetodit lõpp-punkt tegelikult kasutab. Kolm rida ülestähendust muudavad järgmise uuendamise ülesandeks, mitte uurimiseks.