AWS Client VPN: सर्वर प्रमाणपत्र बनाम क्लाइंट प्रमाणपत्र की भूमिका
एंडपॉइंट का सर्वर प्रमाणपत्र सेवा को प्रमाणित करता है। पारस्परिक प्रमाणीकरण सर्वर की कुंजी साझा किए बिना प्रत्येक क्लाइंट की पहचान और CA पर भरोसा जोड़ता है।
Client VPN एंडपॉइंट को हमेशा TLS सर्वर प्रमाणपत्र चाहिए। यही वह पहचान है जो प्रबंधित एंडपॉइंट क्लाइंट के जुड़ने पर प्रस्तुत करता है। यह उन प्रमाणपत्रों से अलग वस्तु है जो व्यक्तिगत क्लाइंट पारस्परिक प्रमाणीकरण के समय प्रस्तुत करते हैं। इन दोनों को मिला देना ही सबसे आम कारण है जिससे बाकी सब सही ACM सेटअप पहले कनेक्शन पर ही विफल हो जाता है।
नीचे कंसोल से बाहर की ओर, उसी क्रम में एक चक्कर है जिससे कोई कनेक्शन वास्तव में गुजरता है।
दो भूमिकाएँ, एक एंडपॉइंट
एंडपॉइंट के पास सर्वर की पहचान है और वैकल्पिक रूप से क्लाइंट पहचानों को सत्यापित करने का तरीका भी। इन्हें अलग-अलग कॉन्फ़िगर किया जाता है। एक तय करता है कि क्लाइंट सेवा पर भरोसा कर सकता है या नहीं; दूसरा तय करता है कि सेवा क्लाइंट को स्वीकार करती है या नहीं।
| Material | Purpose | Where it lives |
|---|---|---|
| Server certificate and private key | The managed endpoint proves its TLS identity | ACM, in the endpoint's Region |
| Client certificate and matching key | An individual client proves its identity | On the device |
| CA trust material | The verifier checks the issuer chain | Selected for the client role |
तालिका को एक प्रमाणपत्र के बजाय तीन स्वतंत्र आवश्यकताओं के रूप में पढ़ें। सर्वर प्रमाणपत्र और उसकी निजी कुंजी सेवा के पास रहते हैं। क्लाइंट प्रमाणपत्र और उसकी मिलती निजी कुंजी डिवाइस पर रहती है। CA सामग्री वह है जिससे सत्यापनकर्ता श्रृंखला जाँचता है। लैपटॉप पर हमेशा केवल मध्य पंक्ति ही आती है।
ACM सर्वर प्रमाणपत्र क्या करता है
एंडपॉइंट बनाते समय सर्वर प्रमाणपत्र ACM में उसी क्षेत्र में उपलब्ध होना चाहिए जहाँ एंडपॉइंट है। कंसोल ARN माँगता है, और वह ARN वहीं हल होना चाहिए। ACM डोमेन सत्यापन के साथ दिया गया प्रमाणपत्र रख सकता है, या वह जिसे आप कुंजी और श्रृंखला के साथ आयात करते हैं। दोनों इस भूमिका में काम करते हैं; अंतर नवीनीकरण और निजी कुंजी किसके पास है, में है।
वही प्राप्ति मार्ग चुनें जो इससे मेल खाता हो कि प्रमाणपत्र कौन नवीनीकृत कर सकता है, न कि वह जिसने संयोगवश मान्य दिखने वाली फ़ाइल बनाई।
पारस्परिक प्रमाणीकरण क्या जोड़ता है
प्रमाणपत्र-आधारित क्लाइंट प्रमाणीकरण चुनने से दूसरा प्रश्न जुड़ता है: कौन से क्लाइंट जुड़ ही सकते हैं। प्रत्येक क्लाइंट अपना प्रमाणपत्र प्रस्तुत करता है और मिलती निजी कुंजी रखने का प्रमाण देता है। अलग-अलग पहचानें ही बाद में चुनिंदा निरसन संभव बनाती हैं। एक क्लाइंट कुंजी को हर डिवाइस पर कॉपी करना उस गुण को चुपचाप छोड़ देता है, तब भी जब सर्वर प्रमाणपत्र बिल्कुल ठीक तरीके से प्राप्त किया गया हो।
एंडपॉइंट की प्रमाणीकरण विधि एक चुनाव है, सार्वभौमिक आवश्यकता नहीं।
Active Directory और संघीय प्रमाणीकरण उसी प्रश्न का उत्तर अन्य साधनों से देते हैं। पारस्परिक प्रमाणपत्र वाला नुस्खा उन परिनियोजनों के लिए अपने आप लॉगिन डिज़ाइन नहीं बन जाता, और उपयोगकर्ता को कैसे भी भीतर लाया जाए, सर्वर का TLS सत्यापन बना रहता है।
एक ही CA ARN कुंजी साझा करना क्यों नहीं है
AWS दस्तावेज़ करता है कि जब सर्वर और क्लाइंट प्रमाणपत्र एक ही CA जारी करता है, तो सर्वर प्रमाणपत्र के ARN का उपयोग क्लाइंट प्रमाणपत्र के चयन के लिए भी किया जा सकता है। वह वाक्य उस श्रृंखला के बारे में है जिस पर एंडपॉइंट सत्यापन के समय भरोसा करता है। यह क्लाइंटों से सर्वर की निजी कुंजी इस्तेमाल करने को नहीं कहता। लैपटॉप को अब भी अपना क्लाइंट प्रमाणपत्र और अपनी मिलती कुंजी चाहिए।
जब क्लाइंट का CA कोई और जारीकर्ता हो, तो दस्तावेज़ित मार्ग उस CA को ACM में आयात करना और उसे क्लाइंट भूमिका के लिए चुनना है।
विफलता को किसी चरण तक वापस ले जानें
कुछ भी बदलने से पहले तय करें कि कौन सा चरण विफल हो रहा है। यदि क्लाइंट एंडपॉइंट को अस्वीकार करता है, तो संदिग्ध सर्वर का ARN या उसकी श्रृंखला है। यदि एंडपॉइंट क्लाइंट को अस्वीकार करता है, तो क्लाइंट प्रमाणपत्र, उसका जारीकर्ता और चुनी गई प्रमाणीकरण विधि देखें। यदि सुरंग बन जाती है और यातायात फिर भी विफल होता है, तो आप प्रमाणपत्रों से आगे निकल चुके हैं।
एक बार में एक ही वस्तु बदलें, क्योंकि दोनों सिरों को एक साथ बदलना उसी अस्पष्टता को फिर से पैदा करता है जिससे आपने शुरू किया था।
उस विशिष्ट भूमिका के लिए सेवा के समर्थित कुंजी एल्गोरिदम और आवश्यक एक्सटेंशन भी जाँचें। सार्वजनिक वेबसाइट को संतुष्ट करने वाला प्रमाणपत्र इस बात का प्रमाण नहीं है कि Client VPN की सभी पहचान आवश्यकताएँ पूरी हुई हैं।
लिखें कि कौन सा फ़ील्ड कौन सा ARN रखता है, किस CA ने क्लाइंट प्रमाणपत्र जारी किया और एंडपॉइंट वास्तव में कौन सी प्रमाणीकरण विधि इस्तेमाल करता है। तीन पंक्तियों का रिकॉर्ड अगले नवीनीकरण को जाँच के बजाय एक काम बना देता है।