Koja CA datoteka ide u OpenVPN profil samo s lozinkom?

Prođite kroz četiri pitanja po redu i dijalog za CA prestaje biti dvosmislen. Koji je materijal operater zapravo izdao, što profil već sadrži, koje polje pita i što se događa nakon što se datoteka učita? Zaustavite se na prvom pitanju na koje ne možete odgovoriti iz operaterovih vlastitih uputa, jer nagađanje nakon toga je način na koji javni CA certifikat završi u paru s privatnim ključem koji nikada nije smio napustiti poslužitelj.

Redoslijed je važan: posljednja dva pitanja imaju smisla tek kad znate koji materijal treba postojati.

Počnite od onoga što profil već nosi

Otvorite profil u tekstualnom uređivaču i potražite blok ca prije nego što potražite datoteku. Ugrađeni blok ca s operaterovim javnim CA znači da je profil samodostatan, a klijent koji još traži CA datoteku možda čita drugi profil ili nepotpuni uvoz. Ako profil umjesto toga ima redak ca koji pokazuje na putanju, ta je putanja u nekim integracijama relativna prema klijentovu radnom direktoriju, a u drugima apsolutna. Zabilježite koji oblik imate prije nego što bilo što promijenite.

ca /absolute/path/operator-ca.crt
auth-user-pass
remote-cert-tls server

Provjerite isporučeni paket na datoteke na koje se profil poziva: CA certifikat, ponekad odvojeni klijentski certifikat i ključ, i moguće datoteku tls-auth ili tls-crypt. Profil koji upućuje na četiri datoteke, a dolazi s dvije, nepotpun je i nikakvo pokazivanje na polja to ne popravlja. Zatražite od operatera dio koji nedostaje umjesto da podmetnete certifikat koji slučajno imate.

Razdvojite četiri vrste materijala

CA certifikat je javni materijal koji se koristi za provjeru identiteta poslužitelja. Klijentski certifikat identificira korisnika ili uređaj poslužitelju. Privatni ključ je tajna polovina tog klijentskog certifikata i nikada ne smije biti CA-ov ključ za potpisivanje niti poslužiteljski ključ. Materijal tls-auth ili tls-crypt odvojena je zajednička tajna koja štiti kontrolni kanal. Ta četiri nisu zamjenjiva, a usmjeravanje polja CA na klijentski certifikat proizvodi neuspjeh provjere koji izgleda kao problem s povjerenjem.

Autentifikacija samo lozinkom mijenja koji vam je od četiri potreban, a ne što znače. Uz auth-user-pass i remote-cert-tls server klijent još provjerava poslužitelj prema CA, zato se polje CA pojavljuje čak i kad klijentskog certifikata nema. Operaterova politika odlučuje treba li i klijentski certifikat, a nijedan dijalog vam to ne može reći.

Usmjerite klijent na datoteku povjerenja

Odaberite samu CA certifikatnu datoteku, ne mapu u kojoj se nalazi i ne .p12 paket koji nosi klijentski identitet. Na Windowsu se sintaksa putanje i birač datoteka ponašaju drukčije nego u Linux primjerima u većini vodiča, zato koristite ono što instalirani klijent prihvaća i potvrdite da datoteku može čitati račun koji ga pokreće. Problem s dopuštenjima i datoteka koja nedostaje izgledaju isto u dijalogu, ali daju različite retke u zapisniku. Nakon odabira ponovno otvorite postavke profila da potvrdite da je klijent zadržao izbor.

<ca>
-----BEGIN CERTIFICATE-----
...operator-provided public CA...
-----END CERTIFICATE-----
</ca>

Ako klijent podržava ugrađene blokove, dajte prednost operaterovom ugrađenom profilu umjesto ručno sastavljenog. Ugrađeni materijal putuje s profilom i preživljava ponovni uvoz, dok se apsolutna putanja lomi čim se profil premjesti na drugo računalo.

Pročitajte sljedeću pogrešku, a ne istu

Smisao dobrog CA je promijeniti pogrešku, a ne učiniti da nestane. Neuspjeh identiteta poslužitelja nakon učitavanja CA znači da se certifikat nije podudarao s očekivanim imenom ili očekivanjem remote-cert-tls, što je drugo popravljanje od odbijanja lozinke. Odbijanje lozinke znači da je TLS sloj uspio, a akreditiv je pogrešan. Zadržite prvu novu poruku; ona je korisna.

Klijent koji se poveže ali ni do čega ne dođe potpuno je prešao povjerenje i sada se suočava s pitanjem usmjeravanja ili DNS-a.

Nikada ne isključujte provjeru da biste prošli taj dijalog. Klijent koji prihvaća bilo koji certifikat nema razloga tražiti CA, a tunel koji gradi nije onaj koji je operater namjeravao.