گواهی در Windows دیده می‌شود اما OpenVPN نمی‌تواند از کلید آن استفاده کند

گواهی در نمایشگر گواهی‌های Windows دیده می‌شود و با این حال کارخواه نمی‌تواند از آن استفاده کند. دیدن یک گواهی فقط ثابت می‌کند که شیئی عمومی در یک مخزن وجود دارد. ثابت نمی‌کند که فرایند اتصال کلید خصوصی مطابق را پیدا می‌کند یا اجازه استفاده از آن را دارد.

سه شیء باید هم‌راستا شوند. گواهی انتخاب‌شده، کلید خصوصیِ پشت آن و حسابی که کارخواه با آن اجرا می‌شود چیزهای جداگانه‌ای هستند و هر یک می‌تواند به‌تنهایی شکست بخورد.

سه شیء، سه پاسخ

نسخه اجتماعی OpenVPN در Windows یک انتخاب‌گر مخزن CryptoAPI را مستند می‌کند، cryptoapicert، که اثر انگشت می‌گیرد. مقدار باید همان گواهی‌ای را مشخص کند که واقعاً قصد استفاده از آن را دارید، نه گواهی‌ای با نام مشابه. کاربردهای دیگر مبتنی بر OpenVPN می‌توانند الگوی درون‌ریزی کاملاً متفاوتی داشته باشند، پس انتخاب‌گر تنها برای نسخه‌ای شاهد است که آن را مستند می‌کند. پیش از اشکال‌زدایی هر چیز پایین‌دستی تأیید کنید که کارخواه شما این سازوکار را پیاده کرده است.

اگر نسخه انتخاب‌گر را پشتیبانی نکند، راه‌حل قالب نمایه متفاوت است، نه گواهی متفاوت.

آیا انتخاب‌گر به هویت درست می‌رسد

گواهی عمومی را می‌توان بدون کلید خصوصی آن درون‌ریزی کرد. نمایشگر در هر دو حالت آن را نشان می‌دهد و همین باعث می‌شود این خرابی شبیه نادیده گرفتن گواهی‌ای باشد که آشکارا وجود دارد. پیوند کلید را بررسی کنید، نه فقط وجود مدخل را.

گواهی تمدیدشده تله دومی اضافه می‌کند. هر دو مدخل می‌توانند در مخزن بمانند در حالی که نمایه هنوز اثر انگشت قدیمی‌تر را نام می‌برد، و کارخواه همچنان هویتی را انتخاب می‌کند که می‌خواستید بازنشسته کنید.

پیش از نگاه کردن به مجوزها بررسی کنید انتخاب‌گر به کدام هویت می‌رسد. اثر انگشت نادرست همانند کلید گمشده شکست می‌خورد.

آیا این حساب می‌تواند از کلید استفاده کند

دسترسی به کلید به‌ازای هر حساب است. یک سرویس، یک وظیفه زمان‌بندی‌شده و یک نشست تعاملی میزکار می‌توانند نمای متفاوتی از مخزن و مجوز متفاوتی برای استفاده از کلید خصوصی داشته باشند. دیده شدن گواهی در نشست خودتان هیچ چیزی درباره حساب سرویس نمی‌گوید.

کلید مبتنی بر سخت‌افزار ممکن است به تأمین‌کننده خود و یک مرحله تأیید نیاز داشته باشد. سرویسی که نمی‌تواند اعلانی نشان دهد با برون‌بری کلید به یک پرونده ساده نجات نمی‌یابد.

پیش از تغییر هر چیزی خطای محلی را بخوانید. شکست انتخاب، شکست امضا و رد شدن از سوی سرور سه پیامد متفاوت‌اند. فقط دو مورد نخست محلی‌اند. مورد سوم یعنی کلید کار کرد و سرور بر ضد گواهی تصمیم گرفت.

استفاده محلی پذیرش از راه دور نیست

موفقیت محلی مجوز نیست. پس از اینکه کارخواه با کلیدش امضا کرد، سرور هنوز صادرکننده، بازه اعتبار، نقش و سیاست دسترسی خود را ارزیابی می‌کند. گواهی دیگر از همان CA به‌طور خودکار همان حقوق VPN را ندارد.

سرور به زنجیره اعتماد نیاز دارد، نه رونوشتی از کلید خصوصی کارخواه. فرستادن کلید به سرور هرگز درمان یک مشکل بررسی نیست.

خرابی را به ترتیب پیش ببرید

متن دقیق خطا را نگه دارید. نبود مجوز کلید نباید به تغییر CA تبدیل شود و رد شدن از سوی سرور نباید به تعمیر مخزن تبدیل شود. هر یک شواهد خودش را دارد.

به همان ترتیبی کار کنید که خرابی ظاهر می‌شود: انتخاب‌گر، کلید، حساب و سپس سیاست سرور. مرجع کارخواه اجتماعی انتخاب‌گر مخزن Windows را برای نسخه‌ای که اجرا می‌کنید مستند می‌کند.