Hokker CA-bestân heart yn in OpenVPN-profyl mei allinnich in wachtwurd?

Wurket fjouwer fragen yn oarder troch en de CA-dialooch is net mear dûbelsinnich. Hokker materiaal hat de operator eins útjûn, wat befettet it profyl al, hokker fjild freget, en wat bart der nei't it bestân laden is? Stop by de earste fraach dy't jo net út 'e eigen ynstruksjes fan 'e operator beantwurdzje kinne, want fierder riede is krekt hoe't in iepenbier CA-sertifikaat mei in priveeskaai peare wurde dat de tsjinner nea ferlitte moatten hie.

De oarder is wichtich: de lêste twa fragen hawwe pas sin as jo witte hokker materiaal bestean moat.

Begjin mei wat it profyl al befettet

Iepenje it profyl yn in tekstbewurker en sykje in ca-blok foardat jo in bestân sykje. In ynbêde ca-blok mei it iepenbiere CA fan 'e operator betsjut dat it profyl selsstannich is, en in klant dy't noch altyd in CA-bestân freget, lêst miskien in oar profyl of in ûnfolsleine ymport. Hat it profyl ynstee in ca-rigel dy't nei in paad wiist, dan is dat paad by guon yntegraasjes relatyf oan 'e wurkmap fan 'e klant en by oaren absolút. Notearje hokker foarm jo hawwe foardat jo eat feroarje.

ca /absolute/path/operator-ca.crt
auth-user-pass
remote-cert-tls server

Kontrolearje it levere pakket op de bestannen dêr't it profyl nei ferwiist: in CA-sertifikaat, soms in apart kliïntsertifikaat en -kaai, en mooglik in tls-auth- of tls-crypt-bestân. In profyl dat nei fjouwer bestannen ferwiist mar mei twa oankomt, is ûnfolslein, en gjin hoemannichte fjildwizen reparearret dat. Freegje de operator om it ûntbrekkende stik ynstee fan in sertifikaat te ferfangen dat jo tafallich hawwe.

Skied fjouwer soarten materiaal

It CA-sertifikaat is iepenbier materiaal dat brûkt wurdt om 'e identiteit fan 'e tsjinner te ferifiearjen. In kliïntsertifikaat identifisearret de brûker of it apparaat by de tsjinner. In priveeskaai is de geheime helte fan dat kliïntsertifikaat, en it moat nea de ûndertekeningskaai fan 'e CA of in tsjinnerskaai wêze. tls-auth- of tls-crypt-materiaal is in apart dield geheim dat it kontrôlekanaal beskermet. Dizze fjouwer binne net útwikselber, en it CA-fjild nei in kliïntsertifikaat wize jout in ferifikaasjeflater dy't op in fertrouwensprobleem liket.

Autentikaasje mei allinnich in wachtwurd feroaret hokker fan 'e fjouwer jo nedich hawwe, net wat se betsjutte. Mei auth-user-pass en remote-cert-tls server ferifiearret de klant de tsjinner noch altyd tsjin in CA, dêrom ferskynt it CA-fjild sels as der gjin kliïntsertifikaat bestiet. It belied fan 'e operator beslút oft in kliïntsertifikaat ek ferplichte is, en gjin dialooch kin jo dat sizze.

Wize de klant nei it fertrouwensbestân

Selektearje it CA-sertifikaatbestân sels, net de map dy't it befettet en net in .p12-pakket dat in kliïntidentiteit befettet. Op Windows gedrage de paadsyntaksis en de bestânskarker har oars as de Linux-foarbylden yn 'e measte hantliedingen, dus brûk wat de ynstalleare klant akseptearret en befêstigje dat it bestân lêsber is foar it akkount dat it rint. In tastimmingsprobleem en in ûntbrekkend bestân lykje itselde yn 'e dialooch mar leverje ferskillende logrigels. Iepenje nei de seleksje de profylynstellingen op 'e nij om te befêstigjen dat de klant de kar beholden hat.

<ca>
-----BEGIN CERTIFICATE-----
...operator-provided public CA...
-----END CERTIFICATE-----
</ca>

As de klant ynbêde blokken stipet, foarkom dan it ynbêde profyl fan 'e operator boppe in hânmjittich gearstald. Ynbêd materiaal reizget mei it profyl en oerlibbet opnij ymportearje, wylst in absolút paad brekt op it stuit dat it profyl nei in oare masine ferpleatst wurdt.

Lês de folgjende flater, net deselde

It doel fan it leverjen fan it krekte CA is de flater te feroarjen, net om him ferdwine te litten. In tsjinneridentiteitsflater nei't it CA laden is, betsjut dat it sertifikaat net by de ferwachte namme of de remote-cert-tls-ferwachting paste, wat in oare reparaasje is as in wachtwurdôfwizing. In wachtwurdôfwizing betsjut dat de TLS-laach slagge is en de legitimearring ferkeard is. Hâld it earste nije berjocht; dat is it nuttige.

In klant dy't ferbynt mar neat berikt, is fertrouwen hielendal foarby en stiet no foar in routing- of DNS-fraach.

Skeakelje nea ferifikaasje út om dy dialooch foarby te kommen. In klant dy't hokker sertifikaat dan ek akseptearret, hat gjin reden om in CA te freegjen, en de tunnel dy't er bout is net de iene dy't de operator bedoelde.