AWS Client VPN: સર્વર પ્રમાણપત્ર વિરુદ્ધ ક્લાયન્ટ પ્રમાણપત્રની ભૂમિકા
એન્ડપોઇન્ટનું સર્વર પ્રમાણપત્ર સેવા સાબિત કરે છે. પારસ્પરિક પ્રમાણીકરણ સર્વરની કી શેર કર્યા વિના દરેક ક્લાયન્ટની ઓળખ અને CA પર વિશ્વાસ ઉમેરે છે.
Client VPN એન્ડપોઇન્ટને હમેશા TLS સર્વર પ્રમાણપત્રની જરૂર પડે છે. આ તે ઓળખ છે જે સંચાલિત એન્ડપોઇન્ટ ક્લાયન્ટ જોડાય ત્યારે રજૂ કરે છે. આ વ્યક્તિગત ક્લાયન્ટ પારસ્પરિક પ્રમાણીકરણ વખતે રજૂ કરે છે તે પ્રમાણપત્રોથી અલગ વસ્તુ છે. આ બન્નેને ભેગા કરવું એ જ સૌથી સામાન્ય કારણ છે જેના લિધે બાકીની બધી રીતે સાચી ACM ગોઠવણી પ્રથમ જોડાણમાં જ નિષ્ફળ થાય છે.
નીચે કન્સોલથી બહારની તરફ, જે ક્રમમાં કનેક્શન ખરેખર પસાર થાય છે તે જ ક્રમમાં એક ફેરો છે.
બે ભૂમિકાઓ, એક એન્ડપોઇન્ટ
એન્ડપોઇન્ટ પાસે સર્વરની ઓળખ છે અને વૈકલ્પિક રીતે ક્લાયન્ટ ઓળખ ચકાસવાનો માર્ગ પણ. આ અલગ-અલગ ગોઠવાય છે. એક નક્કી કરે છે ક્લાયન્ટ સેવા પર વિશ્વાસ કરી શકે છે કે નહીં; બીજું નક્કી કરે છે કે સેવા ક્લાયન્ટને સ્વીકારે છે કે નહીં.
| Material | Purpose | Where it lives |
|---|---|---|
| Server certificate and private key | The managed endpoint proves its TLS identity | ACM, in the endpoint's Region |
| Client certificate and matching key | An individual client proves its identity | On the device |
| CA trust material | The verifier checks the issuer chain | Selected for the client role |
કોષ્ટકને એક પ્રમાણપત્રને બદલે ત્રણ સ્વતંત્ર જરૂરિયાતો તરીકે વાંચો. સર્વર પ્રમાણપત્ર અને તેની ખાંગી કી સેવા પાસે રહે છે. ક્લાયન્ટ પ્રમાણપત્ર અને તેની સાથે મેળ ખાતી ખાંગી કી ઉપકરણ પર રહે છે. CA સામગ્રી એ છે જેનાથી ચકાસનાર સાંકળ તપાસે છે. લેપટોપ પર હમેશા ફક્ત મધ્યની પંક્તિ જ આવે છે.
ACM સર્વર પ્રમાણપત્ર શું કરે છે
એન્ડપોઇન્ટ બનાવતી વખતે સર્વર પ્રમાણપત્ર ACM માં જે પ્રદેશમાં એન્ડપોઇન્ટ છે તે જ પ્રદેશમાં ઉપલબ્ધ હોવું જોઈએ. કન્સોલ ARN માંગે છે, અને તે ARN ત્યાં જ ઉકેલાય જોઈએ. ACM ડોમેન ચકાસણી સાથે આપેલું પ્રમાણપત્ર રાખી શકે છે, અથવા જે તમે કી અને સાંકળ સાથે આયાત કરો છો. બન્ને આ ભૂમિકામાં કામ કરે છે; ફરક નવીકરણ અને ખાંગી કી કોણી પાસે છે તેમાં છે.
પ્રમાણપત્ર કોણ નવીકરણ કરી શકે તેની સાથે મેળ ખાતો માર્ગ પસંદ કરો, સંયોગથી માન્ય દેખાતી ફાઇલ બનાવેલો માર્ગ નહીં.
પારસ્પરિક પ્રમાણીકરણ શું ઉમેરે છે
પ્રમાણપત્ર-આધારિત ક્લાયન્ટ પ્રમાણીકરણ પસંદ કરવાથી બીજો પ્રશ્ન જોડાય છે: કયા ક્લાયન્ટ જોડાય જ શકે છે. દરેક ક્લાયન્ટ પોતાનું પ્રમાણપત્ર રજૂ કરે છે અને મેળ ખાતી ખાંગી પાસે હોવાનું પુરવારો આપે છે. અલગ ઓળખો જ પછી પસંદગીથી રદ કરવાનું શક્ય બનાવે છે. એક ક્લાયન્ટ કી દરેક ઉપકરણ પર નકલ કરવી તે ગુણ ચૂપચાપ છોડી દે છે, સર્વર પ્રમાણપત્ર એકદમ સુંદર રીતે મળેલું હોય તો પણ.
એન્ડપોઇન્ટની પ્રમાણીકરણ પદ્ધતિ એક પસંદગી છે, સાર્વત્રિક જરૂરિયાત નહીં.
Active Directory અને સંઘીય પ્રમાણીકરણ એજ પ્રશ્નનો જવાબ બીજા સાધનોથી આપે છે. પારસ્પરિક પ્રમાણપત્રની રીત તે તૈનાતીઓ માટે આપોઆપ લૉગિન રચના બનતી નથી, અને વપરાશકર્તાને કેવી રીતે અંદર લેવાય તેના અનુસાર સર્વરની TLS ચકાસણી ચાલુ રહે છે.
એક જ CA ARN કી શેર કરવું કેમ નથી
AWS દસ્તાવેજ કરે છે કે જ્યારે સર્વર અને ક્લાયન્ટ પ્રમાણપત્ર એક જ CA જારી કરે છે, ત્યારે સર્વર પ્રમાણપત્રના ARNનો ઉપયોગ ક્લાયન્ટ પ્રમાણપત્ર પસંદ કરવા માટે પણ થઈ શકે છે. તે વાક્ય તે સાંકળ વિશે છે જેના પર એન્ડપોઇન્ટ ચકાસણી વખતે ભરોસો કરે છે. તે ક્લાયન્ટને સર્વરની ખાંગી કી વાપરવાનું કહેતું નથી. લેપટોપને હજી પણ પોતાનું ક્લાયન્ટ પ્રમાણપત્ર અને પોતાની મેળ ખાતી કી જરૂર છે.
જ્યારે ક્લાયન્ટનું CA બીજું જારીકર્તા હોય, ત્યારે દસ્તાવેજિત માર્ગ એ છે કે તે CA ACM માં આયાત કરી ક્લાયન્ટ ભૂમિકા માટે તેને પસંદ કરવું.
નિષ્ફળતાને કોઈ ટબક્કા સુધી પાછી લેજો
કંઈપણ બદલવા પહેલાં નક્કી કરો કે કોઈ ટબક્કો નિષ્ફળ થઈ રહ્યો છે. જો ક્લાયન્ટ એન્ડપોઇન્ટને નકારે તો શંકાસ્પદ સર્વરનું ARN અથવા તેની સાંકળ છે. જો એન્ડપોઇન્ટ ક્લાયન્ટને નકારે તો ક્લાયન્ટ પ્રમાણપત્ર, તેના જારીકર્તા અને પસંદ કરેલી પ્રમાણીકરણ પદ્ધતિ જુઓ. જો ટ્યુનલ ઉભૂં થાય અને ટ્રાફિક હજી પણ નિષ્ફળ થાય, તો તમે પ્રમાણપત્રોથી આગળ નીકળી ગયા છો.
એક સમયે એક જ વસ્તુ બદલો, કારણ બન્ને સિરા સાથે બદલવાથી તમે જે અસ્પષ્ટતાથી શરૂ કર્યું હતું તે ફરી ઉભે છે.
તે ચોક્કસ ભૂમિકા માટે સેવાના સમર્થિત કી એલ્ગોરિથમ અને જરૂરી એક્સટેન્શન પણ તપાસો. જાહેર વેબસાઇટને સંતોષતું પ્રમાણપત્ર એ વાતનો પુરાવો નથી કે Client VPNની બધી ઓળખ જરૂરિયાતો પૂરી થઈ ગઈ છે.
લખો કે કયું ક્ષેત્ર કયું ARN રાખે છે, કયી CA એ ક્લાયન્ટ પ્રમાણપત્ર જારી કર્યું અને એન્ડપોઇન્ટ ખરેખર કયી પ્રમાણીકરણ પદ્ધતિ વાપરે છે. ત્રણ લીટનો રેકોર્ડ આગલું નવીકરણ તપાસને બદલે એક કામ બનાવે છે.