Mikä CA-tiedosto kuuluu vain salasanalla toimivaan OpenVPN-profiiliin?

Käy neljä kysymystä järjestyksessä läpi, niin CA-valintaikkuna lakkaa olemasta monitulkintainen. Mitä materiaalia operaattori todella myönsi, mitä profiili jo sisältää, mikä kenttä kysyy ja mitä tapahtuu, kun tiedosto on ladattu? Pysähdy ensimmäiseen kysymykseen, johon et osaa vastata operaattorin omista ohjeista, sillä sen ohi arvaaminen on juuri se tapa, jolla julkinen CA-varmenne päätyy pariksi yksityisavaimen kanssa, jonka ei koskaan olisi pitänyt poistua palvelimelta.

Järjestys on tärkeä: kaksi viimeistä kysymystä ovat mielekkäitä vasta, kun tiedät, mitä materiaalia pitäisi olla olemassa.

Aloita siitä, mitä profiili jo sisältää

Avaa profiili tekstieditorissa ja etsi ca-lohko ennen kuin etsit tiedostoa. Upotettu ca-lohko, jossa on operaattorin julkinen CA, tarkoittaa, että profiili on itsenäinen, ja asiakas, joka yhä pyytää CA-tiedostoa, saattaa lukea toista profiilia tai puutteellista tuontia. Jos profiilissa sen sijaan on polkuun osoittava ca-rivi, polku on joissakin integraatioissa suhteellinen asiakkaan työhakemistoon ja toisissa absoluuttinen. Kirjaa, kumpi muoto sinulla on, ennen kuin muutat mitään.

ca /absolute/path/operator-ca.crt
auth-user-pass
remote-cert-tls server

Tarkista toimitetusta paketista tiedostot, joihin profiili viittaa: CA-varmenne, joskus erillinen asiakasvarmenne ja avain sekä mahdollisesti tls-auth- tai tls-crypt-tiedosto. Profiili, joka viittaa neljään tiedostoon mutta saapuu kahden kanssa, on puutteellinen, eikä mikään kenttiin osoittaminen korjaa sitä. Pyydä operaattorilta puuttuva osa sen sijaan, että korvaisit sen varmenteella, joka sinulla sattuu olemaan.

Erottele neljä materiaalityyppiä

CA-varmenne on julkista materiaalia, jota käytetään palvelimen identiteetin vahvistamiseen. Asiakasvarmenne tunnistaa käyttäjän tai laitteen palvelimelle. Yksityisavain on kyseisen asiakasvarmenteen salainen puolisko, eikä se saa koskaan olla CA:n allekirjoitusavain tai palvelinavain. tls-auth- tai tls-crypt-materiaali on erillinen jaettu salaisuus, joka suojaa ohjauskanavaa. Nämä neljä eivät ole vaihdettavissa, ja CA-kentän osoittaminen asiakasvarmenteeseen tuottaa vahvistusvirheen, joka näyttää luottamusongelmalta.

Vain salasanalla tapahtuva todennus muuttaa sitä, minkä neljästä tarvitset, ei sitä, mitä ne tarkoittavat. auth-user-pass ja remote-cert-tls server -asetuksilla asiakas vahvistaa palvelimen edelleen CA:ta vasten, minkä vuoksi CA-kenttä näkyy myös silloin, kun asiakasvarmennetta ei ole. Operaattorin käytäntö päättää, vaaditaanko myös asiakasvarmenne, eikä mikään valintaikkuna voi kertoa sitä sinulle.

Osoita asiakas luottamustiedostoon

Valitse itse CA-varmennetiedosto, ei sitä sisältävää kansiota eikä .p12-pakettia, joka sisältää asiakasidentiteetin. Windowsissa polun syntaksi ja tiedostovalitsin käyttäytyvät eri tavalla kuin useimpien oppaiden Linux-esimerkit, joten käytä sitä, minkä asennettu asiakas hyväksyy, ja varmista, että tiedosto on sen tilin luettavissa, joka sitä ajaa. Käyttöoikeusongelma ja puuttuva tiedosto näyttävät valintaikkunassa samalta mutta tuottavat eri lokirivit. Avaa valinnan jälkeen profiiliasetukset uudelleen ja varmista, että asiakas säilytti valinnan.

<ca>
-----BEGIN CERTIFICATE-----
...operator-provided public CA...
-----END CERTIFICATE-----
</ca>

Jos asiakas tukee upotettuja lohkoja, suosi operaattorin upotettua profiilia käsin kootun sijaan. Upotettu materiaali kulkee profiilin mukana ja kestää uudelleentuonnin, kun taas absoluuttinen polku katkeaa heti, kun profiili siirtyy toiselle koneelle.

Lue seuraava virhe, älä samaa

Oikean CA:n toimittamisen tarkoitus on muuttaa virhe, ei saada sitä katoamaan. Palvelimen identiteettivirhe CA:n lataamisen jälkeen tarkoittaa, että varmenne ei vastannut odotettua nimeä tai remote-cert-tls-odotusta, mikä on eri korjaus kuin salasanan hylkäys. Salasanan hylkäys tarkoittaa, että TLS-kerros onnistui ja tunnus on väärä. Säilytä ensimmäinen uusi viesti; se on hyödyllinen.

Asiakas, joka yhdistää mutta ei tavoita mitään, on ohittanut luottamuksen kokonaan ja kohtaa nyt reititys- tai DNS-kysymyksen.

Älä koskaan poista vahvistusta käytöstä päästäksesi valintaikkunasta ohi. Asiakkaalla, joka hyväksyy minkä tahansa varmenteen, ei ole syytä pyytää CA:ta, eikä sen rakentama tunneli ole se, jota operaattori tarkoitti.