Sertifikaat sichtber yn Windows, mar OpenVPN kin de kaai derfan net brûke

It sertifikaat is sichtber yn ’e Windows-sertifikaatbesjenner, en de klient kin it dochs net brûke. In sertifikaat sjen bewiist allinne dat der in iepenbier objekt yn in opslach bestiet. It bewiist net dat it ferbiningsproses de byhearrende priveekaai fine kin of dat it dy brûke mei.

Trije objekten moatte opinoar passe. It keazen sertifikaat, de priveekaai dêrefter en it akkount dêr’t de klient ûnder draait, binne aparte dingen, en elk kin op himsels mislearje.

Trije objekten, trije antwurden

De mienskipferzje fan OpenVPN op Windows dokumintearret in CryptoAPI-opslachkar, cryptoapicert, dy’t in tommeôfdruk nimt. De wearde moat it sertifikaat oanwize dat jo echt brûke wolle, net ien mei in ferlykbere namme. Oare op OpenVPN basearre applikaasjes kinne in folslein oar ymportmodel hawwe, dus de kar is allinne bewiis foar de build dy’t him dokumintearret. Befêstigje dat jo klient it meganisme ymplemintearret foardat jo eat fierderop debugge.

As de build de kar net stipet, is de oplossing in oar profylformaat, net in oar sertifikaat.

Liedt de kar nei de juste identiteit

In iepenbier sertifikaat kin ymportearre wurde sûnder syn priveekaai. De besjenner toant it yn beide gefallen, en dêrom liket dizze flater as oft de klient in sertifikaat negearret dat dúdlik oanwêzich is. Kontrolearje de kaai-assoasje, net allinne it bestean fan ’e yngong.

In fernijde sertifikaat foeget in twadde falstrik ta. Beide yngongen kinne yn ’e opslach bliuwe wylst it profyl noch de âldere tommeôfdruk neamt, en de klient bliuwt de identiteit kieze dy’t jo ôfskie wolle.

Kontrolearje nei hokker identiteit de kar liedt foardat jo nei rjochten sjogge. In ferkearde tommeôfdruk mislearret itselde as in ûntbrekkende kaai.

Kin dit akkount de kaai brûke

Kaaibetjitter jildt per akkount. In tsjinst, in plande taak en in ynteraktive buroblêdsesje kinne ferskillende opslachbylden en ferskillende tastimming hawwe om in priveekaai te brûken. Dat it sertifikaat yn jo eigen sesje sichtber is, seit neat oer it tsjinstakkount.

In hardware-stipe kaai hat miskien syn leveransier en in befêstigingsstap nedich. In tsjinst dy’t gjin oanfreger toane kin, wurdt net rêden troch de kaai nei in gewoan bestân te eksportearjen.

Lês de lokale flater foardat jo eat feroarje. In karfout, in ûndertekenfout en in ôfwizing fan ’e server binne trije ferskillende útkomsten. Allinne de earste twa binne lokaal. De tredde betsjut dat de kaai wurke hat en dat de server tsjin it sertifikaat besletten hat.

Lokaal gebrûk is gjin ôfstânsakseptaasje

Lokaal súkses is gjin autorisaasje. Nei’t de klient mei syn kaai tekene hat, beoardielet de server noch hieltiten de útjouwer, it jildichheidsfinster, de rol en syn tagongspolityk. In oar sertifikaat fan deselde CA draacht net automatysk deselde VPN-rjochten.

De server hat de fertrouwensketen nedich, net in kopy fan ’e priveekaai fan ’e klient. De kaai nei de server stjoere is nea de reparaasje foar in ferifikaasjeprobleem.

Wurkje de flater yn folchoarder ôf

Hâld de krekte flatertekst. In ûntbrekkend kaairjocht moat gjin CA-feroaring wurde, en in ôfwizing fan ’e server moat gjin opslachreparaasje wurde. Elk hat syn eigen bewiis.

Wurkje yn ’e folchoarder wêryn’t de flater ferskynt: kar, kaai, akkount, dan serverpolityk. De mienskiplike klientreferinsje dokumintearret de Windows-opslachkar foar de ferzje dy’t jo draaie.