AWS Client VPN: szerver-tanúsítvány és az ügyfél-tanúsítvány szerepe
A végpont szerver-tanúsítványa igazolja a szolgáltatást. A kölcsönös hitelesítés ügyfelenkénti identitásokat és CA-bizalmat ad anélkül, hogy megosztaná a szerver kulcsát.
Egy Client VPN-végpontnak mindig szüksége van TLS-szerver-tanúsítványra. Ez az az identitás, amelyet a felüyelt végpont bemutat, amikor egy ügyfél csatlakozik. Ez más objektum, mint azok a tanúsítványok, amelyeket az egyes ügyfelek kölcsönös hitelesítés esetén bemutatnak. A kettő összekeverése a leggyakoribb oka annak, hogy egy egyébként helyes ACM-beállítás mégis elbukik az első kapcsolatnál.
Íme egy végigvezetés a konzoltól kifelé, abban a sorrendben, ahogy egy kapcsolat valóban áthalad.
Két szerep, egy végpont
A végpont rendelkezik szerveridentitással és opcionálisan az ügyfélidentitások ellenőrzésének módjával. Ezeket külön konfigurálják. Az egyik eldönti, hogy az ügyfél megbízhat-e a szolgáltatásban; a másik eldönti, hogy a szolgáltatás elfogadja-e az ügyfelet.
| Material | Purpose | Where it lives |
|---|---|---|
| Server certificate and private key | The managed endpoint proves its TLS identity | ACM, in the endpoint's Region |
| Client certificate and matching key | An individual client proves its identity | On the device |
| CA trust material | The verifier checks the issuer chain | Selected for the client role |
A táblázatot három független követelményként olvassa, nem egyetlen tanúsítványként. A szerver-tanúsítvány és a privát kulcsa a szolgáltatásnál marad. Az ügyfél-tanúsítvány és a hozzá tartozó privát kulcs az eszközön él. A CA-anyag az, amit az ellenőrző a lánc vizsgálatához használ. Csak a középső sor tartozik valaha laptopra.
Mit tesz az ACM szerver-tanúsítvány
A végpont létrehozásakor a szerver-tanúsítványnak elérhetőnek kell lennie az ACM-ben a végponttal azonos régióban. A konzol egy ARN-t kér, és annak az ARN-nek ott feloldhatónak kell lennie. Az ACM tárolhat tartománynév-ellenőrzéssel kiépített tanúsítványt, vagy olyat, amelyet a kulcsával és láncával együtt importált. Mindkettő működik ebben a szerepben; a megújításban és abban különböznek, hogy kinél van a privát kulcs.
Azt a kiépítési utat válassza, amelyik ahhoz illik, aki meg tudja újítani a tanúsítványt, nem azt, amelyik véletlenül érvényesnek látszó fájlt állított elő.
Mit ad hozzá a kölcsönös hitelesítés
A tanúsítványalapú ügyfélhitelesítés kiválasztása egy második kérdést ad hozzá: mely ügyfelek csatlakozhatnak egyáltalán. Minden ügyfél bemutatja a saját tanúsítványát, és bizonyítja, hogy birtokolja a hozzá tartozó privát kulcsot. Az elkülönült identitások teszik lehetővé később a szelektív visszavonást. Egy ügyfélkulcs minden eszközre másolása csendben eldobja ezt a tulajdonságot, még akkor is, ha a szerver-tanúsítványt tökéletesen szerezték be.
A végpont hitelesítési módszere választás, nem általános követelmény.
Az Active Directory és a föderált hitelesítés más eszközökkel válaszol ugyanarra a kérdésre. A kölcsönös tanúsítvány receptje nem automatikusan ezeknek a telepítéseknek a bejelentkezési terve, és a szerver TLS-ellenőrzése helyben marad, függetlenül attól, hogyan engedik be a felhasználót.
Miért nem kulcsmegosztás ugyanaz a CA-ARN
Az AWS dokumentálja, hogy ha a szerver- és az ügyfél-tanúsítványt ugyanaz a CA adja ki, a szerver-tanúsítvány ARN-je az ügyfél-tanúsítvány kiválasztásához is használható. Ez a mondat arról szól, melyik láncban bízik a végpont az ellenőrzés során. Nem mondja meg az ügyfeleknek, hogy a szerver privát kulcsát használják. Egy laptopnak továbbra is szüksége van a saját ügyfél-tanúsítványára és a saját hozzá tartozó kulcsára.
Amikor az ügyfél CA-ja más kibocsátó, a dokumentált út az, hogy azt a CA-t importálja az ACM-be, és kiválassza az ügyfélszerephez.
Vezesse vissza a hibát egy szakaszhoz
Állapítsa meg, melyik szakasz hibázik, mielőtt bármit kicserélne. Ha az ügyfél elutasítja a végpontot, a szerver ARN-je vagy annak lánca a gyanús. Ha a végpont utasítja el az ügyfelet, nézze meg az ügyfél-tanúsítványt, annak kibocsátóját és a kiválasztott hitelesítési módszert. Ha az alagút feljön, és a forgalom továbbra is hibázik, már túl van a tanúsítványokon.
Egyszerre egy objektumot cseréljen, mert mindkét végét egyszerre kicserélni újrateremti a kétértelműséget, amellyel elkezdte.
Ellenőrizze a szolgáltatás támogatott kulcsalgoritmusait és a szerephez szükséges kiterjesztéseket is. Egy nyilvános webhelyet kielégítő tanúsítvány nem bizonyítja, hogy minden Client VPN-identitáskövetelmény teljesül.
Írja le, melyik ARN melyik mezőben van, melyik CA adta ki az ügyfél-tanúsítványt, és melyik hitelesítési módszert használja a végpont valójában. Három sor feljegyzés a következő megújítást feladattá teszi vizsgálat helyett.