AWS Client VPN: certificado de servidor fronte ao papel do certificado de cliente
O certificado de servidor do endpoint demostra o servizo. A autenticación mutua engade identidades por cliente e confianza na CA sen compartir a clave do servidor.
Un endpoint de Client VPN sempre necesita un certificado TLS de servidor. Esa é a identidade que presenta o endpoint xestionado cando un cliente se conecta. É un obxecto distinto dos certificados que presentan os clientes individuais cando se usa autenticación mutua. Confundir ambos é a razón máis habitual pola que unha configuración de ACM por outra banda correcta segue fallando na primeira conexión.
Velaquí un percorrido desde a consola cara a fóra, na orde que unha conexión atravesa realmente.
Dous papeis, un endpoint
O endpoint posúe unha identidade de servidor e, opcionalmente, unha forma de verificar identidades de clientes. Ámbalas dúas configúranse por separado. Unha decide se o cliente pode confiar no servizo; a outra decide se o servizo acepta o cliente.
| Material | Purpose | Where it lives |
|---|---|---|
| Server certificate and private key | The managed endpoint proves its TLS identity | ACM, in the endpoint's Region |
| Client certificate and matching key | An individual client proves its identity | On the device |
| CA trust material | The verifier checks the issuer chain | Selected for the client role |
Lea a táboa como tres requisitos independentes en lugar de como un só certificado. O certificado de servidor e a súa clave privada quedan co servizo. Un certificado de cliente e a súa clave privada correspondente viven no dispositivo. O material da CA é o que usa un verificador para comprobar a cadea. Só a fila central pertence algunha vez a un portátil.
Que fai o certificado de servidor de ACM
Ao crear o endpoint, o certificado de servidor debe estar dispoñible en ACM na mesma rexión que o endpoint. A consola pide un ARN, e ese ARN debe resolverse alí. ACM pode conter un certificado que aprovisionou con validación de dominio, ou un que importou xunto coa súa clave e cadea. Ambos funcionan neste papel; difiren na renovación e en quen posúe a clave privada.
Escolla a vía de aprovisionamento que coincide con quen pode renovar o certificado, non a que casualmente produciu un ficheiro de aspecto válido.
Que engade a autenticación mutua
Seleccionar autenticación de cliente baseada en certificados engade unha segunda pregunta: que clientes poden conectarse. Cada cliente presenta o seu propio certificado e demostra posuír a clave privada correspondente. As identidades separadas son o que fai posible máis adiante unha revogación selectiva. Copiar unha clave de cliente en cada dispositivo descarta esa propiedade en silencio, mesmo cando o certificado de servidor se obtivo perfectamente.
O método de autenticación do endpoint é unha elección, non un requisito universal.
Active Directory e a autenticación federada responden á mesma pregunta por outros medios. Unha receita de certificado mutuo non é automaticamente o deseño de inicio de sesión para esas implantacións, e a verificación TLS do servidor mantense independentemente de como se admite o usuario.
Por que o mesmo ARN de CA non é compartir claves
AWS documenta que, cando os certificados de servidor e de cliente os emite a mesma CA, o ARN do certificado de servidor tamén se pode usar para a selección do certificado de cliente. Ese enunciado trata de en que cadea confía o endpoint para a verificación. Non lles di aos clientes que usen a clave privada do servidor. Un portátil segue necesitando o seu propio certificado de cliente e a súa propia clave correspondente.
Cando a CA do cliente é un emisor distinto, a vía documentada é importar esa CA en ACM e seleccionala para o papel de cliente.
Remontar o fallo ata unha etapa
Identifique que etapa falla antes de substituír nada. Se o cliente rexeita o endpoint, o ARN do servidor ou a súa cadea son os sospeitosos. Se o endpoint rexeita o cliente, mire o certificado de cliente, o seu emisor e o método de autenticación seleccionado. Se o túnel se levanta e o tráfico segue fallando, xa pasou dos certificados.
Substitúa un obxecto á vez, porque cambiar ambos os extremos ao mesmo tempo reproduce a ambigüidade coa que comezou.
Comprobe tamén os algoritmos de clave admitidos e as extensións requiridas do servizo para o papel concreto. Un certificado que satisfai un sitio web público non é proba de que se cumprisen todos os requisitos de identidade de Client VPN.
Anote que ARN contén cada campo, que CA emitiu o certificado de cliente e que método de autenticación usa realmente o endpoint. Tres liñas de rexistro converten a próxima renovación nunha tarefa en lugar dunha investigación.