AWS Client VPN: zerbitzariaren ziurtagiria edo bezeroaren ziurtagiriaren rola
Muturreko puntuaren zerbitzariaren ziurtagiriak zerbitzua frogatzen du. Autentifikazio elkarrekikoak bezero bakoitzeko identitateak eta CAren konfiantza gehitzen ditu, zerbitzariaren gakoa partekatu gabe.
Client VPN muturreko puntu batek beti behar du TLS zerbitzariaren ziurtagiri bat. Hori da muturreko puntu kudeatuak bezero bat konektatzen denean aurkezten duen identitatea. Objektu desberdin bat da bezero indibidualek autentifikazio elkarrekikoa erabiltzen denean aurkezten dituzten ziurtagiriekiko. Biak nahastea da bestela zuzena den ACM konfigurazio batek lehen konexioan huts egiten jarraitzen duen arrazoi ohikoena.
Hona hemen kontsolatik kanporako ibilbidea, konexio batek benetan zeharkatzen duen ordenan.
Bi rol, muturreko puntu bat
Muturreko puntuak zerbitzariaren identitatea du, eta, aukeran, bezeroen identitateak egiaztatzeko modu bat. Biak bereiz konfiguratzen dira. Batek erabakitzen du bezeroak zerbitzuan fidatu daitekeen; besteak zerbitzuak bezeroa onartzen duen.
| Material | Purpose | Where it lives |
|---|---|---|
| Server certificate and private key | The managed endpoint proves its TLS identity | ACM, in the endpoint's Region |
| Client certificate and matching key | An individual client proves its identity | On the device |
| CA trust material | The verifier checks the issuer chain | Selected for the client role |
Irakurri taula hiru baldintza independente gisa, ziurtagiri bakar gisa baino. Zerbitzariaren ziurtagiria eta haren gako pribatua zerbitzuarekin geratzen dira. Bezeroaren ziurtagiria eta haren gako pribatu parekidea gailuan bizi dira. CA materiala da egiaztatzaile batek katea egiaztatzeko erabiltzen duena. Erdiko errenkada soilik dagokio inoiz eramangarri bati.
Zer egiten du ACM zerbitzariaren ziurtagiriak
Muturreko puntua sortzen duzunean, zerbitzariaren ziurtagiriak ACMn egon behar du muturreko puntuaren eskualde berean. Kontsolak ARN bat eskatzen du, eta ARN horrek han ebatzi behar du. ACMk domeinu egiaztapenarekin hornitu duzun ziurtagiri bat gorde dezake, edo gakoarekin eta katearekin batera inportatu duzuna. Biak balio dute rol honetan; berritzean eta gako pribatua nork daukion desberdinak dira.
Aukeratu hornitze-bidea ziurtagiria nor berritu dezakeen kontuan hartuta, ez kasualitatez fitxategi baliodun itxurakoa sortu zuena.
Zer gehitzen du autentifikazio elkarrekikoak
Ziurtagirian oinarritutako bezeroen autentifikazioa hautatzeak bigarren galdera gehitzen du: zein bezero konekta daitezkeen. Bezero bakoitzak bere ziurtagiria aurkezten du eta dagokion gako pribatuaren jabetza frogatzen du. Identitate bereiziek egiten dute posible geroago baliogabetze selektiboa. Bezero gako bat gailu guztietan kopiatzeak propietate hori isilean baztertzen du, zerbitzariaren ziurtagiria ezin hobeto lortu bada ere.
Muturreko puntuaren autentifikazio-metodoa aukera bat da, ez baldintza unibertsala.
Active Directory eta autentifikazio federatua beste bide batzuetatik erantzuten diote galdera berari. Ziurtagiri elkarrekiko errezeta bat ez da automatikoki hedapen horietarako saio-hasierako diseinua, eta zerbitzariaren TLS egiaztapenak bere horretan jarraitzen du erabiltzailea nola onartzen den alde batera utzita.
Zergatik CA ARN bera ez den gakoak partekatzea
AWSk dokumentatzen du zerbitzariaren eta bezeroaren ziurtagiriak CA berberak jaulkitzen dituenean, zerbitzariaren ziurtagiriaren ARNa bezeroaren ziurtagiria hautatzeko ere erabil daitekeela. Perpaus hori muturreko puntuak egiaztapenerako zein kateri fidatzen dion da. Ez die bezeroei esaten zerbitzariaren gako pribatua erabil dezatela. Eramangarri batek oraindik bere bezero ziurtagiria eta dagokion gako propioa behar ditu.
Bezeroaren CA jaulkitzaile desberdina denean, dokumentatutako bidea CA hori ACMn inportatzea eta bezeroaren rolerako hautatzea da.
Eraman hutsegitea etapa batera
Zer etapa huts egiten duen zehaztu, ezer ordezkatu aurretik. Bezeroak muturreko puntua uzten ez badu, zerbitzariaren ARNa edo haren katea da susmagarria. Muturreko puntuak bezeroa uzten ez badu, begiratu bezeroaren ziurtagiria, haren jaulkitzailea eta hautatutako autentifikazio-metodoa. Tunela altxatzen bada eta trafikoak huts egiten jarraitzen badu, ziurtagirietatik haratago zaude.
Ordezkatu objektu bat aldiko, bi muturrak aldi berean trukatzeak hasi zinen anbiguotasuna birsortzen baitu.
Egiaztatu, halaber, zerbitzuak onartutako gako algoritmoak eta rol zehatzerako beharrezko luzapenak. Webgune publiko bat asebetetzen duen ziurtagiriak ez du frogatzen Client VPN identitate-baldintza guztiak bete direnik.
Idatzi zein ARN gordetzen duen eremu bakoitzak, zein CAk jaulki zuen bezeroaren ziurtagiria eta zein autentifikazio-metodo erabiltzen duen muturreko puntuak benetan. Hiru erregistro-lerrok hurrengo berritzea ikerketa bat izan beharrean zeregin bihurtzen dute.