AWS Client VPN : certificat de serveur et rôle du certificat de client
Le certificat de serveur du point de terminaison prouve le service. L'authentification mutuelle ajoute des identités par client et la confiance envers la CA sans partager la clé du serveur.
Un point de terminaison Client VPN a toujours besoin d'un certificat TLS de serveur. C'est l'identité que le point de terminaison géré présente lorsqu'un client se connecte. C'est un objet différent des certificats que présentent les clients individuels lorsque l'authentification mutuelle est utilisée. Confondre les deux est la raison la plus fréquente pour laquelle une configuration ACM par ailleurs correcte échoue encore à la première connexion.
Voici un parcours depuis la console vers l'extérieur, dans l'ordre qu'une connexion traverse réellement.
Deux rôles, un point de terminaison
Le point de terminaison possède une identité de serveur et, éventuellement, un moyen de vérifier les identités des clients. Ces éléments se configurent séparément. L'un décide si le client peut faire confiance au service ; l'autre décide si le service accepte le client.
| Material | Purpose | Where it lives |
|---|---|---|
| Server certificate and private key | The managed endpoint proves its TLS identity | ACM, in the endpoint's Region |
| Client certificate and matching key | An individual client proves its identity | On the device |
| CA trust material | The verifier checks the issuer chain | Selected for the client role |
Lisez le tableau comme trois exigences indépendantes plutôt que comme un seul certificat. Le certificat de serveur et sa clé privée restent auprès du service. Un certificat de client et sa clé privée correspondante vivent sur l'appareil. Le matériel de CA est ce qu'un vérificateur utilise pour contrôler la chaîne. Seule la ligne du milieu appartient jamais à un ordinateur portable.
Ce que fait le certificat de serveur ACM
Lorsque vous créez le point de terminaison, le certificat de serveur doit être disponible dans ACM dans la même région que le point de terminaison. La console demande un ARN, et cet ARN doit y être résolu. ACM peut contenir un certificat que vous avez provisionné avec la validation de domaine, ou un que vous avez importé avec sa clé et sa chaîne. Les deux fonctionnent dans ce rôle ; ils diffèrent par le renouvellement et par qui détient la clé privée.
Choisissez la voie d'approvisionnement qui correspond à qui peut renouveler le certificat, et non celle qui a produit par hasard un fichier d'apparence valide.
Ce qu'ajoute l'authentification mutuelle
Choisir l'authentification de client par certificat ajoute une seconde question : quels clients peuvent se connecter. Chaque client présente son propre certificat et prouve qu'il possède la clé privée correspondante. Des identités séparées sont ce qui rend possible plus tard une révocation sélective. Copier une clé de client sur chaque appareil écarte discrètement cette propriété, même lorsque le certificat de serveur a été obtenu parfaitement.
La méthode d'authentification du point de terminaison est un choix, pas une exigence universelle.
Active Directory et l'authentification fédérée répondent à la même question par d'autres moyens. Une recette de certificat mutuel n'est pas automatiquement la conception de connexion pour ces déploiements, et la vérification TLS du serveur reste en place quelle que soit la manière dont l'utilisateur est admis.
Pourquoi le même ARN de CA n'est pas un partage de clés
AWS documente que, lorsque les certificats de serveur et de client sont émis par la même CA, l'ARN du certificat de serveur peut aussi servir à la sélection du certificat de client. Cette phrase porte sur la chaîne à laquelle le point de terminaison fait confiance pour la vérification. Elle ne dit pas aux clients d'utiliser la clé privée du serveur. Un ordinateur portable a toujours besoin de son propre certificat de client et de sa propre clé correspondante.
Lorsque la CA du client est un émetteur différent, la voie documentée consiste à importer cette CA dans ACM et à la sélectionner pour le rôle de client.
Remonter la panne jusqu'à une étape
Identifiez l'étape qui échoue avant de remplacer quoi que ce soit. Si le client rejette le point de terminaison, l'ARN du serveur ou sa chaîne est le suspect. Si le point de terminaison rejette le client, examinez le certificat de client, son émetteur et la méthode d'authentification choisie. Si le tunnel monte et que le trafic échoue encore, vous avez dépassé les certificats.
Remplacez un objet à la fois, car échanger les deux extrémités en même temps reproduit l'ambiguïté avec laquelle vous avez commencé.
Vérifiez aussi les algorithmes de clé pris en charge et les extensions requises du service pour le rôle concerné. Un certificat qui satisfait un site web public n'est pas la preuve que toutes les exigences d'identité de Client VPN sont remplies.
Notez quel ARN chaque champ contient, quelle CA a émis le certificat de client et quelle méthode d'authentification le point de terminaison utilise réellement. Trois lignes de registre transforment le prochain renouvellement en tâche plutôt qu'en enquête.