AWS Client VPN: servercertifikaat tsjin de rol fan it klantcertifikaat
It servercertifikaat fan it einpunt bewiist de tsjinst. Underlingse autentikaasje foeget identiteiten per klant en CA-fertrouwen ta sûnder de kaai fan de server te dielen.
In Client VPN-einpunt hat altyd in TLS-servercertifikaat nedich. Dat is de identiteit dy't it behearde einpunt foarleit as in klant ferbynt. It is in oar objekt as de sertifikaten dy't yndividuele klanten foarleit as underlingse autentikaasje brûkt wurdt. Dy twa trochinoar helje is de meast foarkommende reden wêrom't in oars korrekte ACM-opsetsel dochs by de earste ferbining mislearret.
Hjir is in rûnlieding fan 'e konsole nei bûten, yn 'e folchoarder dy't in ferbining eins trochrint.
Twa rollen, ien einpunt
It einpunt hat in serveridentiteit en, opsjoneel, in manier om klantidentiteiten te ferifiearjen. Dy wurde apart konfigurearre. Ien beslût oft de klant de tsjinst fertrouwe kin; de oare beslût oft de tsjinst de klant akseptearret.
| Material | Purpose | Where it lives |
|---|---|---|
| Server certificate and private key | The managed endpoint proves its TLS identity | ACM, in the endpoint's Region |
| Client certificate and matching key | An individual client proves its identity | On the device |
| CA trust material | The verifier checks the issuer chain | Selected for the client role |
Lês de tabel as trije ûnôfhinklike easken ynstee fan as ien sertifikaat. It servercertifikaat en syn partikuliere kaai bliuwe by de tsjinst. In klantcertifikaat en de byhearrende partikuliere kaai libje op it apparaat. It CA-materiaal is wat in ferifiearder brûkt om de keatling te kontrolearjen. Allinnich de middelste rige heart ea op in laptop.
Wat it ACM-servercertifikaat docht
As jo it einpunt oanmeitsje, moat it servercertifikaat beskikber wêze yn ACM yn deselde regio as it einpunt. De konsole freget om in ARN, en dy ARN moat dêr oplost wurde. ACM kin in sertifikaat hawwe dat jo mei domeinferifikaasje oanlevere hawwe, of ien dat jo ymportearre hawwe mei syn kaai en keatling. Beide wurkje yn dizze rol; se ferskille yn fernijing en yn wa't de partikuliere kaai hat.
Kies it oanleveringspaad dat past by wa't it sertifikaat fernije kin, net datjinge dat tafallich in jildich-lykjend bestân oplevere.
Wat underlingse autentikaasje tafoeget
It kiezen fan sertifikaat-basearre klantautentikaasje foeget in twadde fraach ta: hokker klanten meie hielendal ferbine. Eltse klant leit syn eigen sertifikaat foar en bewiist besit fan 'e byhearrende partikuliere kaai. Aparte identiteiten binne wat selektive ynlûking letter mooglik makket. Ien klantkaai op elk apparaat kopiearje smyt dy eigenskip stilwei fuort, sels as it servercertifikaat perfekt krigen is.
De autentikaasjemetoade fan it einpunt is in kar, gjin universele eask.
Active Directory en federeare autentikaasje beantwurdzje deselde fraach op oare manieren. In resept mei underlingse sertifikaten is net automatysk it oanmeldûntwerp foar dy ynsetten, en server-TLS-ferifikaasje bliuwt fan krêft, hoe't de brûker ek talitten wurdt.
Wêrom't deselde CA-ARN gjin kaaidielen is
AWS dokumintearret dat as it server- en klantcertifikaat troch deselde CA ûtjûn binne, de ARN fan it servercertifikaat ek brûkt wurde kin foar de seleksje fan it klantcertifikaat. Dy sin giet oer hokker keatling it einpunt by ferifikaasje fertrout. It seit klanten net dat se de partikuliere kaai fan 'e server brûke moatte. In laptop hat noch hieltyd syn eigen klantcertifikaat en syn eigen byhearrende kaai nedich.
As de CA fan 'e klant in oare ûtjouwer is, is it dokumintearre paad dy CA yn ACM te ymportearjen en foar de klantrol te kiezen.
Folgje de mislearring werom nei in stap
Stel fêst hokker stap mislearret foardat jo eat ferfange. As de klant it einpunt wegeret, is de ARN fan 'e server of syn keatling de fertochte. As it einpunt de klant wegeret, sjoch dan nei it klantcertifikaat, syn ûtjouwer en de keazen autentikaasjemetoade. As de tunnel omheech komt en ferkear dochs mislearret, binne jo foarby de sertifikaten.
Ferfang ien objekt tagelyk, want beide einen tagelyk omwikselje reprodusearret de ûdúdlikheid dêr't jo mei begûn binne.
Kontrolearje ek de stipe kaaialgoritmen en fereaske ûtwreidings fan 'e tsjinst foar de spesifike rol. In sertifikaat dat in iepenbiere website foldocht is gjin bewiis dat alle Client VPN-identiteitseasken foldien binne.
Skriuw op hokker ARN elk fjild hat, hokker CA it klantcertifikaat ûtjûn hat en hokker autentikaasjemetoade it einpunt eins brûkt. Trije rigels oantekening meitsje de folgjende fernijing ta in taak ynstee fan in ûdersyk.