AWS Client VPN: palvelinvarmente ja asiakasvarmenteen rooli
Päätepisteen palvelinvarmente todistaa palvelun. Keskinäinen todennus lisää asiakaskohtaiset identiteetit ja CA-luottamuksen jakamatta palvelimen avainta.
Client VPN -päätepiste tarvitsee aina TLS-palvelinvarmenteen. Se on identiteetti, jonka hallinnoitu päätepiste esittää, kun asiakas yhdistää. Se on eri objekti kuin ne varmenteet, jotka yksittäiset asiakkaat esittävät, kun keskinäistä todennusta käytetään. Näiden kahden sekoittaminen on yleisin syy siihen, miksi muuten oikea ACM-asetus epäonnistuu silti ensimmäisellä yhteydellä.
Tässä on katsaus konsolista ulospäin siinä järjestyksessä, jonka yhteys todella kulkee.
Kaksi roolia, yksi päätepiste
Päätepisteellä on palvelimen identiteetti ja halutessaan tapa vahvistaa asiakkaiden identiteetit. Ne määritetään erikseen. Toinen päättää, voiko asiakas luottaa palveluun; toinen päättää, hyväksyykö palvelu asiakkaan.
| Material | Purpose | Where it lives |
|---|---|---|
| Server certificate and private key | The managed endpoint proves its TLS identity | ACM, in the endpoint's Region |
| Client certificate and matching key | An individual client proves its identity | On the device |
| CA trust material | The verifier checks the issuer chain | Selected for the client role |
Lue taulukko kolmena itsenäisenä vaatimuksena, ei yhtenä varmenteena. Palvelinvarmente ja sen yksityinen avain jäävät palvelulle. Asiakasvarmenne ja sitä vastaava yksityinen avain ovat laitteella. CA-aineisto on se, millä tarkastaja tarkistaa ketjun. Vain keskimmäinen rivi kuuluu koskaan kannettavaan tietokoneeseen.
Mitä ACM-palvelinvarmente tekee
Kun luot päätepisteen, palvelinvarmenteen on oltava ACM:ssa samalla alueella kuin päätepiste. Konsoli kysyy ARN:ää, ja sen ARN:n on ratkaistava siellä. ACM voi sisältää varmenteen, jonka hankit verkkotunnuksen vahvistuksella, tai sellaisen, jonka toit avaimen ja ketjun mukana. Molemmat toimivat tässä roolissa; ne eroavat uusimisessa ja siinä, kenellä yksityinen avain on.
Valitse hankintatapa sen mukaan, kuka voi uusia varmenteen, ei sen mukaan, mikä sattui tuottamaan kelvolliselta näyttävän tiedoston.
Mitä keskinäinen todennus lisää
Varmentepohjaisen asiakastodennuksen valinta lisää toisen kysymyksen: mitkä asiakkaat saavat ylipäätään yhdistää. Jokainen asiakas esittää oman varmenteensa ja todistaa hallitsevansa sitä vastaavaa yksityistä avainta. Juuri erilliset identiteetit tekevät valikoivasta mitätöinnistä mahdollista myöhemmin. Yhden asiakasavaimen kopioiminen joka laitteeseen hylkää tämän ominaisuuden hiljaisesti, vaikka palvelinvarmente olisi hankittu moitteettomasti.
Päätepisteen todennusmenetelmä on valinta, ei yleinen vaatimus.
Active Directory ja federoitu todennus vastaavat samaan kysymykseen toisin keinoin. Keskinäisten varmenteiden resepti ei ole automaattisesti näiden käyttöönottojen kirjautumismalli, ja palvelimen TLS-tarkistus pysyy voimassa riippumatta siitä, miten käyttäjä päästetään sisään.
Miksi sama CA-ARN ei ole avainten jakamista
AWS dokumentoi, että kun palvelin- ja asiakasvarmenteet on myöntänyt sama CA, palvelinvarmenteen ARN:ää voidaan käyttää myös asiakasvarmenteen valintaan. Tuo lause koskee sitä, mihin ketjuun päätepiste luottaa tarkistaessaan. Se ei kerro asiakkaille, että heidän tulisi käyttää palvelimen yksityistä avainta. Kannettava tarvitsee edelleen oman asiakasvarmenteensa ja oman vastaavan avaimensa.
Kun asiakkaan CA on eri myöntäjä, dokumentoitu tapa on tuoda tuo CA ACM:ään ja valita se asiakkaan rooliin.
Palauta vika vaiheeseen
Selvitä, mikä vaihe epäonnistuu, ennen kuin vaihdat mitään. Jos asiakas hylkää päätepisteen, epäilty on palvelimen ARN tai sen ketju. Jos päätepiste hylkää asiakkaan, katso asiakasvarmennetta, sen myöntäjää ja valittua todennusmenetelmää. Jos tunneli nousee ja liikenne epäonnistuu silti, olet jo varmenteiden ulkopuolella.
Vaihda yksi objekti kerrallaan, sillä molempien päiden vaihtaminen yhtä aikaa toisintaa sen epäselvyyden, jolla aloitit.
Tarkista myös palvelun tukemat avainalgoritmit ja vaaditut laajennukset kyseiselle roolille. Varmenne, joka tyydyttää julkista verkkosivustoa, ei ole todiste siitä, että kaikki Client VPN -identiteettivaatimukset on täytetty.
Kirjoita muistiin, mikä ARN on missäkin kentässä, mikä CA myönsi asiakasvarmenteen ja mitä todennusmenetelmää päätepiste todella käyttää. Kolme riviä muistiinpanoja tekee seuraavasta uusimisesta tehtävän tutkinnan sijaan.