Copiar un certificado VPN non copia a clave

O percorrido comeza na lista de certificados do cliente, onde a entrada mostra un nome, un emisor e unha data de caducidade e nada máis. Expórtao, impórtao no segundo dispositivo e a conexión rexéitase porque o cliente non pode demostrar que posúe a clave privada. O ficheiro copiouse por completo; o erro é esperar que un certificado leve a súa propia clave. Le o diálogo de exportación antes de escoller o formato e despois inspecciona o ficheiro que realmente recibiches.

Dous clics, dous artefactos moi distintos.

Le o diálogo de exportación, non o sufixo do ficheiro

Unha exportación de certificado DER ou PEM contén unha clave pública e as declaracións de identidade asinadas, que é o que un servidor necesita para confiar en ti e o que un cliente necesita para verificar un servidor. Un paquete PKCS#12 é un contedor que pode gardar un certificado, a súa cadea e a clave privada correspondente, protexido por un contrasinal, aínda que tamén se pode crear sen a clave.

PEM só é unha codificación de texto, non unha promesa sobre o contido. O mesmo sufixo pode describir un só certificado ou un ficheiro con varios bloques etiquetados, e as opcións de exportación deciden cal.

Así que a pregunta útil nunca é que extensión obtiveches, senón que bloques contén o ficheiro. Un paquete exportado sen a súa clave segue sendo un paquete. Comproba o contido e non a popularidade do formato.

Inspecciona o que realmente obtiveches

Busca as etiquetas antes de importar calquera cousa, e despois le os campos do certificado para confirmar que identidade tes na man. Executa as comprobacións sobre o ficheiro que realmente se vai importar. Repíteas despois de calquera reexportación, porque as opcións poden variar.

grep -E 'BEGIN (CERTIFICATE|PRIVATE KEY|ENCRYPTED PRIVATE KEY)' bundle.pem
openssl x509 -in client.crt -noout -subject -issuer -dates
openssl pkey -in client.key -noout -text | head -5
openssl pkcs12 -info -in client.p12 -noout

Unha exportación con só un bloque de certificado é un obxecto público e non pode autenticarse. Un bloque de clave sen certificado déixache sen a cadea que o servidor espera. A saída de información de PKCS#12 tamén indica se hai unha clave, o que resolve a cuestión para ese formato. Tamén nomea o algoritmo e o tamaño da clave, e falla por completo cando non hai ningunha clave.

Nunca pegues un ficheiro cunha clave privada nun fío de asistencia, nun rastrexador de incidencias ou nun chat, nin sequera cando pareza o certificado que xa compartías. As capturas dun panel de claves merecen a mesma precaución.

A clave pode vivir onde non podes copiala

Nos dispositivos xestionados a clave privada pode residir no chaveiro do sistema operativo, nun token de hardware ou nun enclave seguro, cunha política que a marca como non exportable. O xestor de certificados mostra entón o obxecto público mentres o segredo queda no seu sitio, e ningún comando de exportación producirá unha copia portátil. A alta mediante xestión de dispositivos móbiles adoita funcionar así por deseño.

Iso é un control, non un obstáculo que haxa que evitar. Reconstruír unha clave privada a partir do certificado público non é posible, e calquera ferramenta que o afirme fai outra cousa.

Dá de alta unha identidade nova en lugar de copiar

A vía admitida adoita ser dar de alta unha identidade distinta para o dispositivo novo e revogar a antiga cando se retira, de modo que cada dispositivo poida retirarse de forma independente. Cando unha exportación coa clave está realmente aprobada, trata o ficheiro resultante e o seu contrasinal como credenciais: cifrados en repouso, transferidos por unha canle de confianza e borrados cando a alta rematou.

Verifica autenticándote coa identidade importada, non vendo se a importación tivo éxito. Un cliente que acepta un certificado público no seu almacén non demostrou nada sobre a clave.

Remata confirmando que o servidor acepta a identidade nova e que a antiga segue comportándose como a política pretende. Así o percorrido péchase con probas e non cun ficheiro que parece correcto.