Sertifikaat on Windowsis nähtav, kuid OpenVPN ei saa selle võtit kasutada

Sertifikaat on Windowsi sertifikaatide vaaturis nähtav ja klient ei saa seda ikkagi kasutada. Sertifikaadi nägemine tõestab vaid, et hoidlas on olemas avalik objekt. See ei tõesta, et ühendusprotsess leiab sobiva privaatvõtme või et tal on lubatud seda kasutada.

Kolm objekti peavad kokku sobima. Valitud sertifikaat, selle taga olev privaatvõti ja konto, mille all klient töötab, on eraldi asjad ning igaüks neist võib iseseisvalt ebaõnnestuda.

Kolm objekti, kolm vastust

Windowsi OpenVPN kogukonnaversioon dokumenteerib CryptoAPI hoidlavaliku, cryptoapicert, mis võtab sõrmejälje. Väärtus peab osutama sertifikaadile, mida te tegelikult kasutada tahate, mitte sarnase nimega sertifikaadile. Teistel OpenVPN-il põhinevatel rakendustel võib olla hoopis teistsugune impordimudel, seega on valik tõendiks ainult sellele buildile, mis seda dokumenteerib. Kinnitage, et teie klient seda mehhanismi rakendab, enne kui hakkate midagi allpool siluda.

Kui build valikut ei toeta, on lahendus teine profiili vorming, mitte teine sertifikaat.

Kas valik viib õige identiteedini

Avalikku sertifikaati saab importida ilma selle privaatvõtmeta. Vaatur näitab seda mõlemal juhul ja just seetõttu näib see tõrge nii, nagu ignoreeriks klient sertifikaati, mis on selgelt olemas. Kontrollige võtme seost, mitte ainult kirje olemasolu.

Uuendatud sertifikaat lisab teise lõksu. Mõlemad kirjed võivad hoidlas püsida, samal ajal kui profiil viitab veel vanemale sõrmejäljele, ja klient valib jätkuvalt identiteeti, mille te tahtsite kõrvale jätta.

Kontrollige, millise identiteedini valik viib, enne kui vaatate õigusi. Vale sõrmejälg ebaõnnestub samamoodi nagu puuduv võti.

Kas see konto saab võtit kasutada

Võtmele juurdepääs on konto kaupa. Teenusel, ajastatud ülesandel ja interaktiivsel töölaua seansil võivad olla erinevad vaated hoidlale ja erinevad õigused privaatvõtit kasutada. See, et sertifikaat on nähtav teie enda seansis, ei ütle teenusekonto kohta midagi.

Riistvaraga toetatud võti võib vajada oma teenusepakkujat ja kinnitusammu. Teenust, mis ei saa viipa kuvada, ei päästa võtme eksportimine tavaliseks failiks.

Lugege kohalikku viga enne, kui midagi muudate. Valiku tõrge, allkirjastamise tõrge ja serveri keeldumine on kolm erinevat tulemust. Ainult kaks esimest on kohalikud. Kolmas tähendab, et võti töötas ja server otsustas sertifikaadi vastu.

Kohalik kasutus ei ole serveri heakskiit

Kohalik edu ei ole volitus. Kui klient on oma võtmega allkirjastanud, hindab server endiselt väljaandjat, kehtivusakent, rolli ja oma juurdepääsupoliitikat. Teine sertifikaat samalt CA-lt ei kanna automaatselt samu VPN-i õigusi.

Server vajab usaldusahelat, mitte koopiat kliendi privaatvõtmest. Võtme serverile saatmine ei ole kunagi kontrolliprobleemi parandus.

Lahendage tõrge järjekorras

Hoidke täpne veatekst alles. Puuduv võtmeõigus ei tohiks muutuda CA muudatuseks ja serveri keeldumine ei tohiks muutuda hoidla paranduseks. Igal neist on oma tõendid.

Töötage selles järjekorras, milles tõrge ilmub: valik, võti, konto ja seejärel serveri poliitika. Kogukonna kliendiviide dokumenteerib Windowsi hoidlavaliku teie kasutatava versiooni jaoks.