AWS Client VPN: poslužiteljski certifikat i uloga klijentskog certifikata
Poslužiteljski certifikat endpointa dokazuje uslugu. Međusobna autentifikacija dodaje identitete po klijentu i povjerenje u CA bez dijeljenja poslužiteljskog ključa.
Client VPN endpoint uvijek treba TLS poslužiteljski certifikat. To je identitet koji upravljani endpoint predstavlja kada se klijent povezuje. To je drugi objekt od certifikata koje pojedini klijenti predstavljaju kada se koristi međusobna autentifikacija. Miješanje tih dvaju najčešći je razlog zašto inače ispravna ACM konfiguracija ipak ne uspijeva pri prvom povezivanju.
Slijedi pregled od konzole prema van, redoslijedom kojim veza doista prolazi.
Dvije uloge, jedan endpoint
Endpoint ima poslužiteljski identitet i, neobavezno, način provjere identiteta klijenata. To se konfigurira odvojeno. Jedno odlučuje može li klijent vjerovati usluzi; drugo odlučuje prihvaća li usluga klijenta.
| Material | Purpose | Where it lives |
|---|---|---|
| Server certificate and private key | The managed endpoint proves its TLS identity | ACM, in the endpoint's Region |
| Client certificate and matching key | An individual client proves its identity | On the device |
| CA trust material | The verifier checks the issuer chain | Selected for the client role |
Čitajte tablicu kao tri neovisna zahtjeva, a ne kao jedan certifikat. Poslužiteljski certifikat i njegov privatni ključ ostaju uz uslugu. Klijentski certifikat i odgovarajući privatni ključ žive na uređaju. CA materijal je ono čime provjeravatelj provjerava lanac. Samo srednji redak ikada pripada prijenosniku.
Što radi ACM poslužiteljski certifikat
Kada stvarate endpoint, poslužiteljski certifikat mora biti dostupan u ACM-u u istoj regiji kao endpoint. Konzola traži ARN i taj se ARN tamo mora razriješiti. ACM može čuvati certifikat koji ste osigurali s provjerom domene ili onaj koji ste uvezli zajedno s ključem i lancem. Oba rade u ovoj ulozi; razlikuju se u obnovi i u tome kome je privatni ključ.
Odaberite put nabave koji odgovara tome kome može obnoviti certifikat, a ne onaj koji je slučajno proizveo datoteku koja izgleda valjano.
Što dodaje međusobna autentifikacija
Odabir autentifikacije klijenta na temelju certifikata dodaje drugo pitanje: koji se klijenti uopće smiju povezati. Svaki klijent predstavlja vlastiti certifikat i dokazuje posjed odgovarajućeg privatnog ključa. Odvojeni identiteti omogućuju kasniju selektivnu opoziv. Kopiranje jednog klijentskog ključa na svaki uređaj tiho odbacuje to svojstvo, čak i kada je poslužiteljski certifikat pribavljen besprijekorno.
Metoda autentifikacije endpointa izbor je, a ne univerzalni zahtjev.
Active Directory i federirana autentifikacija odgovaraju na isto pitanje drugim sredstvima. Recept s međusobnim certifikatom nije automatski dizajn prijave za te implementacije, a TLS provjera poslužitelja ostaje na mjestu bez obzira na to kako se korisnik pušta unutra.
Zašto isti CA ARN nije dijeljenje ključeva
AWS dokumentira da se, kada su poslužiteljski i klijentski certifikat izdani od iste CA, ARN poslužiteljskog certifikata može upotrijebiti i za odabir klijentskog certifikata. Ta se rečenica odnosi na to kojem lancu endpoint vjeruje pri provjeri. Ne govori klijentima da upotrijebe privatni ključ poslužitelja. Prijenosnik još uvijek treba vlastiti klijentski certifikat i vlastiti odgovarajući ključ.
Kada je CA klijenta drugi izdavatelj, dokumentirani je put uvesti tu CA u ACM i odabrati je za ulogu klijenta.
Vratite kvar na odgovarajuću fazu
Utvrdite koja faza ne uspijeva prije nego što bilo što zamijenite. Ako klijent odbija endpoint, sumnjivci su ARN poslužitelja ili njegov lanac. Ako endpoint odbija klijenta, pogledajte klijentski certifikat, njegova izdavatelja i odabranu metodu autentifikacije. Ako se tunel podigne, a promet i dalje ne uspijeva, već ste prošli certifikate.
Zamijenite jedan objekt odjednom, jer zamjena oba kraja istodobno reproducira dvosmislenost s kojom ste počeli.
Provjerite i podržane algoritme ključeva i potrebna proširenja usluge za određenu ulogu. Certifikat koji zadovoljava javno web-mjesto nije dokaz da su ispunjeni svi zahtjevi za identitet Client VPN-a.
Zapišite koji ARN drži koje polje, koja je CA izdala klijentski certifikat i koju metodu autentifikacije endpoint stvarno koristi. Tri retka zapisa pretvaraju sljedeću obnovu u zadatak umjesto u istragu.