Õige VPN-parool ei asenda puuduvat sertifikaati

Kasutajatunnused on õiged, profiil imporditakse puhtalt ja ühendus ebaõnnestub siiski enne autentimise lõppu. Windowsis võib teade olla viga 798, sertifikaadi kohta, mida EAP-meetodi jaoks ei leitud. OpenVPN korral näitab kliendilogi TLS-kätlust, mis ei rahulda serverit kunagi. Mõlemad kirjeldavad sama puuduvat objekti: kliendisertifikaati, mille klient oleks pidanud esitama.

Parool tõestab teadmisi saladusest; sertifikaat tõestab võtme valdamist ja üks ei asenda teist.

Parool ei olnud kunagi probleem

Viga 798 on sertifikaadi otsingu ebaõnnestumine. Kliendilt küsiti sertifikaati, mis vastaks seadistatud autentimismeetodile, ta otsis oma hoidlast ega leidnud midagi kasutatavat. See võib tähendada, et sertifikaat puudub, on olemas ilma privaatvõtmeta, on aegunud või asub kohas, kuhu otsing ei ulatu. Parooli uuesti proovimine ei saa ühtki neist tingimustest muuta, seepärast naaseb viga ka õigete kasutajatunnustega.

Lugege teadet enne, kui selle järgi tegutsetsete. Kasutajatunnuste tagasilükkamine, sertifikaadi otsingu ebaõnnestumine ja TLS-kätluse ebaõnnestumine on kolm erinevat leidu ning ainult üks neist puudutab parooli.

Mida peab kliendi hoidla sisaldama

Kaasatud on kaks objekti. Kliendisertifikaat tuleb paigaldada kasutajale, kes VPN-klienti käitab, koos privaatvõtmega, ja väljastav juur peab olema usaldusväärne. Fail .cer sisaldab ainult avalikku sertifikaati, seega ei saa see ise midagi autentida. Windowsi sertifikaadihalduris kuulub kliendi identiteet praeguse kasutaja isiklikku hoidlasse ja juur usaldusväärsete juurte hoidlasse.

Identiteedi paigaldamine arvuti hoidlasse või ainult juurte hoidlasse ei rahulda otsingut, mis on suunatud kasutaja isiklikku hoidlasse. Kontrollige hoidlat, privaatvõtme märget ja kehtivuskuupäevi koos, seejärel taaskäivitage klient, et see hoidla uuesti läbi loeks.

Kaks toodet, sama puuduv tunnus

OpenVPN-i serverid nõuavad vaikimisi kliendisertifikaati. Kliendile auth-user-pass lisamine saadab kasutajanime ja parooli ning TLS-kätlus küsib endiselt sertifikaati, seega ei saa ainult parool ühendust verify-client-cert require all lõpule viia. Serveri saab seadistada mitte midagi nõudma, mis teeb paroolist kliendi ainsa tunnuse ja on tegelik tugevuse vähenemine. Shell-skript auth-user-pass-verify taga saab tunnuseid valideerida ja nõuab skriptide käivitamise lubamist, mis teeb sellest riskantsema lahenduse kui korralik autentimise taustaprogramm.

Ainult paroolil põhinev profiil sõltub ka lükatud valikutest, mis omakorda sõltuvad tõmbamismehhanismi lubamisest.

Ärge parandage puuduvat sertifikaati kontrollide väljalülitamisega

Kiusatus on kontrolli lõdvendada, et teade kaoks. See eemaldab kontrolli, mis oma tööd tegi, ja jätab ühenduse, mis ei tõesta enam seda, mida väidab. Kui lüüs on hiljuti oma juurt vahetanud, laadige kliendipakett uuesti alla, selle asemel et profiili muuta, sest vana pakett võib endiselt eelmist juurt kanda. Kui sertifikaadi autentimise valik profiiliredaktorist puudub, ei pruugi paigaldatud Windowsi versioon seda meetodit pakkuda; uuendage süsteemi, selle asemel et XML-i käsitsi muuta.

Märkige üles, milline hoidla sertifikaati sisaldas, milline kasutaja klienti käitas ja kas privaatvõti oli olemas. Need kolm selgitavad peaaegu iga selle tõrke juhtumit.

Parool oli korras. Tunnus, mida meetod tegelikult vajas, oli mujal.