Melyik CA-fájl kerül a csak jelszavas OpenVPN-profilba?

Négy kérdést sorrendben végigvéve a CA-párbeszédablak megszűnik kétértelmű lenni. Milyen anyagot adott ki valójában az üzemeltető, mit tartalmaz már a profil, melyik mező kérdez, és mi történik a fájl betöltése után? Álljon meg az első kérdésnél, amelyre nem tud az üzemeltető saját utasításaiból válaszolni, mert azon túl találgatni pontosan az az út, amelyen egy nyilvános CA-tanúsítvány olyan privát kulccsal párosul, amelynek soha nem kellett volna elhagynia a szervert.

A sorrend számít: az utolsó két kérdésnek csak akkor van értelme, ha tudja, milyen anyagnak kell léteznie.

Kezdje azzal, amit a profil már tartalmaz

Nyissa meg a profilt egy szövegszerkesztőben, és fájl keresése előtt keressen ca blokkot. Az üzemeltető nyilvános CA-ját tartalmazó beágyazott ca blokk azt jelenti, hogy a profil önálló, és az a kliens, amely még mindig CA-fájlt kér, talán másik profilt vagy hiányos importot olvas. Ha a profilban inkább egy útvonalra mutató ca sor van, az az útvonal egyes integrációkban a kliens munkakönyvtárához viszonyított, másokban abszolút. Jegyezze fel, melyik formája van, mielőtt bármit módosít.

ca /absolute/path/operator-ca.crt
auth-user-pass
remote-cert-tls server

Ellenőrizze a leszállított csomagban azokat a fájlokat, amelyekre a profil hivatkozik: CA-tanúsítvány, néha külön kliens-tanúsítvány és kulcs, és esetleg tls-auth vagy tls-crypt fájl. Az a profil, amely négy fájlra hivatkozik, de kettővel érkezik, hiányos, és ezen semmilyen mezőmutogatás nem segít. Kérje el az üzemeltetőtől a hiányzó darabot, ahelyett hogy egy véletlenül meglévő tanúsítványt helyettesítene be.

Válassza szét a négy anyagtípust

A CA-tanúsítvány nyilvános anyag, amelyet a szerver identitásának ellenőrzésére használnak. A kliens-tanúsítvány a felhasználót vagy az eszközt azonosítja a szerver felé. A privát kulcs ennek a kliens-tanúsítványnak a titkos fele, és soha nem lehet a CA aláíró kulcsa vagy szerverkulcs. A tls-auth vagy tls-crypt anyag külön megosztott titok, amely a vezérlőcsatornát védi. Ez a négy nem felcserélhető, és a CA mező kliens-tanúsítványra irányítása olyan ellenőrzési hibát okoz, amely bizalmi problémának látszik.

Csak jelszavas hitelesítés azt változtatja meg, hogy melyik négyre van szüksége, nem azt, hogy mit jelentenek. auth-user-pass és remote-cert-tls server mellett a kliens továbbra is ellenőrzi a szervert egy CA-val szemben, ezért jelenik meg a CA mező akkor is, ha nincs kliens-tanúsítvány. Az üzemeltető szabályzata dönti el, hogy kliens-tanúsítvány is kell-e, és ezt egyetlen párbeszédablak sem tudja megmondani.

Irányítsa a klienst a bizalmi fájlra

Maga a CA-tanúsítványfájl legyen kiválasztva, ne az azt tartalmazó mappa, és ne egy .p12 csomag, amely kliensidentitást tartalmaz. Windowson az útvonal-szintaxis és a fájlválasztó másként viselkedik, mint a legtöbb útmutató Linux-példáiban, ezért azt használja, amit a telepített kliens elfogad, és erősítse meg, hogy a fájlt futtató fiók olvasni tudja. Az engedélyprobléma és a hiányzó fájl ugyanúgy néz ki a párbeszédablakban, de különböző naplósorokat ad. Kiválasztás után nyissa újra a profilbeállításokat, hogy megerősítse, a kliens megtartotta a választást.

<ca>
-----BEGIN CERTIFICATE-----
...operator-provided public CA...
-----END CERTIFICATE-----
</ca>

Ha a kliens támogatja a beágyazott blokkokat, részesítse előnyben az üzemeltető beágyazott profilját a kézzel összeállított helyett. A beágyazott anyag a profillal együtt utazik és túléli az újraimportálást, az abszolút útvonal viszont abban a pillanatban eltörik, amikor a profil másik gépre kerül.

A következő hibát olvassa, ne ugyanazt

A helyes CA átadásának értelme a hiba megváltoztatása, nem eltüntetése. A CA betöltése utáni szerveridentitás-hiba azt jelenti, hogy a tanúsítvány nem felelt meg az elvárt névnek vagy a remote-cert-tls elvárásnak, ami más javítás, mint a jelszó elutasítása. A jelszó elutasítása azt jelenti, hogy a TLS réteg sikeres volt, és a hitelesítő adat hibás. Tartsa meg az első új üzenetet; az a hasznos.

Az a kliens, amely csatlakozik, de semmit nem ér el, teljesen túljutott a bizalmon, és most útválasztási vagy DNS-kérdéssel néz szembe.

Soha ne kapcsolja ki az ellenőrzést, hogy átjusson ezen a párbeszédablakon. Az a kliens, amely bármilyen tanúsítványt elfogad, ok nélkül kér CA-t, és az általa épített alagút nem az, amelyet az üzemeltető szándékozott.