Varmenne näkyy Windowsissa, mutta OpenVPN ei voi käyttää sen avainta

Varmenne näkyy Windowsin varmennekatselimessa, eikä asiakas silti voi käyttää sitä. Varmenteen näkeminen todistaa vain, että varastossa on julkinen objekti. Se ei todista, että yhteysprosessi löytää vastaavan yksityisen avaimen tai että sillä on lupa käyttää sitä.

Kolmen objektin on osuttava kohdalleen. Valittu varmenne, sen takana oleva yksityinen avain ja tili, jonka alla asiakas toimii, ovat erillisiä asioita, ja jokainen niistä voi epäonnistua itsestään.

Kolme objektia, kolme vastausta

Windowsin OpenVPN-yhteisöversio dokumentoi CryptoAPI-varastovalitsimen, cryptoapicert, joka ottaa sormenjäljen. Arvon on yksilöitävä varmenne, jota todella aiot käyttää, ei samannimistä toista. Muilla OpenVPN-pohjaisilla sovelluksilla voi olla täysin erilainen tuontimalli, joten valitsin on todiste vain siltä koosteelta, joka sen dokumentoi. Varmista, että asiakkaasi toteuttaa mekanismin, ennen kuin selvität mitään alempana ketjussa.

Jos kooste ei tue valitsinta, ratkaisu on toinen profiilimuoto, ei toinen varmenne.

Ratkeaako valitsin oikeaan identiteettiin

Julkisen varmenteen voi tuoda ilman sen yksityistä avainta. Katselin näyttää sen kummassakin tapauksessa, ja siksi tämä vika näyttää siltä kuin asiakas jättäisi huomiotta varmenteen, joka on selvästi paikalla. Tarkista avainyhdistys, älä vain merkinnän olemassaoloa.

Uusittu varmenne lisää toisen ansan. Molemmat merkinnät voivat jäädä varastoon, kun profiili yhä nimeää vanhemman sormenjäljen, ja asiakas valitsee edelleen identiteettiä, jonka halusit poistaa käytöstä.

Tarkista, mihin identiteettiin valitsin ratkeaa, ennen kuin katsot käyttöoikeuksia. Väärä sormenjälki epäonnistuu samalla tavalla kuin puuttuva avain.

Voiko tämä tili käyttää avainta

Avaimen käyttöoikeus on tilikohtainen. Palvelulla, ajastetulla tehtävällä ja vuorovaikutteisella työpöytäistunnolla voi olla erilaiset varastonäkymät ja erilainen lupa käyttää yksityistä avainta. Se, että varmenne näkyy omassa istunnossasi, ei kerro mitään palvelutilistä.

Laitteistopohjainen avain voi tarvita oman tarjoajansa ja vahvistusvaiheen. Palvelua, joka ei voi näyttää kehotetta, ei pelasteta viemällä avain tavalliseen tiedostoon.

Lue paikallinen virhe ennen kuin muutat mitään. Valintavirhe, allekirjoitusvirhe ja palvelimen hylkäys ovat kolme eri lopputulosta. Vain kaksi ensimmäistä ovat paikallisia. Kolmas tarkoittaa, että avain toimi ja palvelin päätti varmennetta vastaan.

Paikallinen käyttö ei ole etähydväksyntä

Paikallinen onnistuminen ei ole valtuutus. Kun asiakas on allekirjoittanut avaimellaan, palvelin arvioi yhä myöntäjän, voimassaoloajan, roolin ja oman käyttöoikeuspolitiikkansa. Toinen varmenne samasta CA:sta ei automaattisesti kanna samoja VPN-oikeuksia.

Palvelin tarvitsee luottamusketjun, ei kopiota asiakkaan yksityisestä avaimesta. Avaimen lähettäminen palvelimelle ei ole koskaan vahvistusongelman korjaus.

Käy vika läpi järjestyksessä

Säilytä virheen tarkka teksti. Puuttuva avaimen käyttöoikeus ei saisi muuttua CA:n vaihdoksi, eikä palvelimen hylkäys saisi muuttua varaston korjaukseksi. Kummallakin on omat todisteensa.

Toimi siinä järjestyksessä, jossa vika ilmenee: valitsin, avain, tili ja sitten palvelimen käytäntö. Yhteisön asiakasviite dokumentoi Windowsin varastovalitsimen siltä versiolta, jota ajat.