Que ficheiro CA vai nun perfil de OpenVPN só con contrasinal?

Percorra catro preguntas en orde e o diálogo de CA deixa de ser ambiguo. Que material emitiu realmente o operador, que contén xa o perfil, que campo pregunta e que ocorre despois de que o ficheiro se cargue. Détase na primeira pregunta que non poida responder coas instrucións do propio operador, porque adiviñar máis alá é como un certificado CA público acaba emparellado cunha chave privada que nunca debería saír do servidor.

A orde importa: as dúas últimas preguntas só teñen sentido cando sabe que material debería existir.

Empece polo que o perfil xa leva

Abra o perfil nun editor de texto e busque un bloque ca antes de buscar un ficheiro. Un bloque ca incrustado que contén o CA público do operador significa que o perfil é autosuficiente, e un cliente que aínda pide un ficheiro CA pode estar lendo outro perfil ou unha importación incompleta. Se o perfil ten en troques unha liña ca que apunta a unha ruta, esa ruta é relativa ao directorio de traballo do cliente nalgunhas integracións e absoluta noutras. Anote que forma ten antes de cambiar nada.

ca /absolute/path/operator-ca.crt
auth-user-pass
remote-cert-tls server

Revise o paquete entregado polos ficheiros aos que fai referencia o perfil: un certificado CA, ás veces un certificado de cliente e unha chave separados, e posiblemente un ficheiro tls-auth ou tls-crypt. Un perfil que fai referencia a catro ficheiros e chega con dous está incompleto, e ningunha cantidade de sinalar campos o arranxa. Pida ao operador a peza que falta en lugar de substituíla por un certificado que teña por casualidade.

Separe catro tipos de material

O certificado CA é material público que se usa para verificar a identidade do servidor. Un certificado de cliente identifica o usuario ou o dispositivo ante o servidor. Unha chave privada é a metade secreta dese certificado de cliente, e nunca debe ser a chave de sinatura do CA nin unha chave de servidor. O material tls-auth ou tls-crypt é un segredo compartido aparte que protexe a canle de control. Estes catro non son intercambiables, e apuntar o campo CA a un certificado de cliente produce un fallo de verificación que parece un problema de confianza.

Autenticación só con contrasinal cambia cal dos catro necesita, non que significan. Con auth-user-pass e remote-cert-tls server o cliente segue verificando o servidor contra un CA, por iso o campo CA aparece mesmo cando non existe ningún certificado de cliente. A política do operador decide se tamén se esixe un certificado de cliente, e ningún diálogo pode dicirlle isto.

Apunte o cliente ao ficheiro de confianza

Seleccione o ficheiro de certificado CA en si, non o cartafol que o contén nin un paquete .p12 que leva unha identidade de cliente. En Windows a sintaxe de rutas e o selector de ficheiros compórtanse de forma distinta aos exemplos de Linux da maioría das guías, así que use o que acepte o cliente instalado e confirme que a conta que o executa pode ler o ficheiro. Un problema de permisos e un ficheiro ausente ven igual no diálogo pero producen liñas de rexistro distintas. Despois de seleccionar, volva abrir a configuración do perfil para confirmar que o cliente conservou a escolla.

<ca>
-----BEGIN CERTIFICATE-----
...operator-provided public CA...
-----END CERTIFICATE-----
</ca>

Se o cliente admite bloques incrustados, prefira o perfil incrustado do operador a un montado á man. O material incrustado viaxa co perfil e sobrevive á reimportación, mentres que unha ruta absoluta rompe no momento en que o perfil se move a outra máquina.

Lea o seguinte erro, non o mesmo

O obxectivo de fornecer o CA correcto é cambiar o erro, non facelo desaparecer. Un fallo de identidade do servidor despois de cargar o CA significa que o certificado non coincidía co nome esperado ou coa expectativa remote-cert-tls, o que é unha reparación distinta dun rexeitamento de contrasinal. Un rexeitamento de contrasinal significa que a capa TLS tivo éxito e que a credencial é incorrecta. Quede coa primeira mensaxe nova; é a útil.

Un cliente que se conecta pero non chega a nada pasou xa a confianza por completo e agora enfronta unha cuestión de encamiñamento ou DNS.

Nunca desactive a verificación para pasar ese diálogo. Un cliente que acepta calquera certificado non ten motivo para pedir un CA, e o túnel que constrúe non é o que o operador pretendía.