Milline CA-fail kuulub ainult parooliga OpenVPN-profiili?

Käige neli küsimust järjest läbi ja CA-dialoog ei ole enam mitmetähenduslik. Millise materjali operaator tegelikult väljastas, mida profiil juba sisaldab, milline väli küsib ja mis juhtub pärast faili laadimist? Peatuge esimese küsimuse juures, millele te ei oska operaatori enda juhiste põhjal vastata, sest edasi oletamine on täpselt see tee, kuidas avalik CA-sertifikaat satub paari privaatvõtmega, mis ei oleks tohtinud kunagi serverist lahkuda.

Järjekord on oluline: kaks viimast küsimust on mõttekad alles siis, kui teate, milline materjal peaks olemas olema.

Alustage sellest, mida profiil juba sisaldab

Avage profiil tekstiredaktoris ja otsige enne faili otsimist plokki ca. Manustatud ca plokk operaatori avaliku CA-ga tähendab, et profiil on iseseisev, ja klient, kes ikka CA-faili küsib, loeb võib-olla teist profiili või puudulikku importi. Kui profiilis on hoopis teele osutav ca rida, on see tee mõnes integratsioonis kliendi töökataloogi suhtes suhteline ja teistes absoluutne. Märkige üles, milline vorm teil on, enne kui midagi muudate.

ca /absolute/path/operator-ca.crt
auth-user-pass
remote-cert-tls server

Kontrollige tarnitud paketist faile, millele profiil viitab: CA-sertifikaat, mõnikord eraldi kliendisertifikaat ja võti ning võib-olla tls-auth või tls-crypt fail. Profiil, mis viitab neljale failile, aga saabub kahega, on puudulik, ja ükski väljadele osutamine ei paranda seda. Küsige operaatorilt puuduvat osa, selle asemel et asendada see sertifikaadiga, mis teil juhuslikult on.

Eraldage neli materjalitüüpi

CA-sertifikaat on avalik materjal, mida kasutatakse serveri identiteedi kontrollimiseks. Kliendisertifikaat tuvastab serveri jaoks kasutaja või seadme. Privaatvõti on selle kliendisertifikaadi salajane pool ja see ei tohi kunagi olla CA allkirjavõti ega serverivõti. tls-auth või tls-crypt materjal on eraldi jagatud saladus, mis kaitseb juhtkanalit. Need neli ei ole vahetatavad, ja CA-välja suunamine kliendisertifikaadile tekitab kontrollitõrke, mis näeb välja nagu usaldusprobleem.

Ainult parooliga autentimine muudab seda, millist neljast te vajate, mitte nende tähendust. Koos auth-user-pass ja remote-cert-tls server-ga kontrollib klient serverit endiselt CA vastu, seepärast kuvatakse CA-väli ka siis, kui kliendisertifikaati ei ole. Operaatori poliitika otsustab, kas ka kliendisertifikaat on nõutav, ja ükski dialoog ei saa seda teile öelda.

Suunake klient usaldusfailile

Valige CA-sertifikaadifail ise, mitte seda sisaldav kaust ja mitte .p12 pakett, mis sisaldab kliendi identiteeti. Windowsis käituvad tee süntaks ja failivalija teisiti kui enamiku juhendite Linuxi näidetes, seega kasutage seda, mida paigaldatud klient aktsepteerib, ja veenduge, et fail on selle kontole loetav, mis seda käitab. Õiguste probleem ja puuduv fail näevad dialoogis ühesugused välja, kuid tekitavad erinevad logiread. Pärast valimist avage profiiliseaded uuesti, et kinnitada, et klient jättis valiku meelde.

<ca>
-----BEGIN CERTIFICATE-----
...operator-provided public CA...
-----END CERTIFICATE-----
</ca>

Kui klient toetab manustatud plokke, eelistage operaatori manustatud profiili käsitsi kokku pandud profiilile. Manustatud materjal liigub profiiliga kaasas ja jääb uuesti importimisel alles, absoluutne tee aga katkeb hetkel, mil profiil teise masinasse liigub.

Lugege järgmist viga, mitte sama

Õige CA andmise mõte on viga muuta, mitte see kaduma panna. Serveri identiteedi tõrge pärast CA laadimist tähendab, et sertifikaat ei vastanud oodatud nimele või remote-cert-tls ootusele, mis on teistsugune parandus kui parooli tagasilükkamine. Parooli tagasilükkamine tähendab, et TLS-kiht õnnestus ja volitus on vale. Hoidke esimene uus sõnum; see on kasulik.

Klient, mis ühendub, aga ei jõua kuhugi, on usaldusest täielikult mööda läinud ja seisab nüüd marsruutimise või DNS-i küsimuse ees.

Ärge kunagi lülitage kontrollimist välja, et sellest dialoogist mööda saada. Kliendil, kes aktsepteerib ükskõik millist sertifikaati, pole põhjust CA-d küsida, ja tunnel, mille ta ehitab, ei ole see, mida operaator silmas pidas.