AWS Client VPN։ սերվերի վկայականը և հաճախորդի վկայականի դերը
Վերջնակետի սերվերի վկայականը վավերացնում է ծառայությունը։ Փոխադարձ նույնականացումը ավելացնում է յուրաքանչյուրք հաճախորդի ինքնություն և CA-ի նկատման վստահություն․ առանց սերվերի բանալին կիսելու․
Client VPN վերջնակետը միշտ կարիք ունի TLS սերվերի վկայականի։ Դա այն ինքնությունն է, որը կառավարվող վերջնակետը ներկայացնում է, երբ հաճախորդը միանում է։ Սա այլ օբյեկտ է, քան այն վկայականները, որոնք ներկայացնում են առանձին հաճախորդները փոխադարձ նույնականացման դեպքում։ Այս երկուսը շափոթելը ամենատարածված պատճառն է, թե ինչու այլապես ճիշտ ACM կարգավորումը մինցևս ձախողվում է առաջին միացման ժամանակ։
Ստորևը կոնսոլից դեպի դուրս անցումն է— այն հերթականությամբ, որով միացումը ֆակտիքում անցնում։
Երկու դեր, մեկ վերջնակետ
Վերջնակետն ունի սերվերի ինքնություն և, ըստ ցանկության, հաճախորդների ինքնությունները ստուգող միջոց։ Դրանք կարգավորվում են առանզատ։ Մեկը որոշում է արդյոք հաճախորդը կարող է վստահել ծառայությանը։ մյուսը որոշում է— արդյոք ծառայությունը ընդունում է հաճախորդին։
| Material | Purpose | Where it lives |
|---|---|---|
| Server certificate and private key | The managed endpoint proves its TLS identity | ACM, in the endpoint's Region |
| Client certificate and matching key | An individual client proves its identity | On the device |
| CA trust material | The verifier checks the issuer chain | Selected for the client role |
Աղյուսակը կարդացեք որպես երեք անկախ պահանջ, այլ ոչ մեկ վկայական։ Սերվերի վկայականը և դրա գաղտնի բանալին մնում են ծառայության մոտ։ Հաճախորդի վկայականը և դրան համապատասխան գաղտնի բանալին գտնվում են սարքում։ CA-ի նյութը այն է, ինչով ստուգողը ստուգում է շղթան։ Միայն միջին տողն է, որ երբևէ պատկանում շարունակին։
Ինչ է անում ACM սերվերի վկայականը
Վերջնակետը ստեղծելիս սերվերի վկայականը պետք է հասանելի լինի ACM-ում— նույն տարածաշրջանում, որտեղ գտնվում է վերջնակետը։ Կոնսոլը պահանջում է ARN, և այդ ARN-ը պետք է այնտեղ լուծվի։ ACM-ն կարող է պահել վկայական, որը տրամադրել եք տիրույթի հաստատմանով, կամ այն, որը ներմուծել եք բանալիև և շղթայով միասին։ Երկուսն էլ աշխատում են այս դերում։ տարբերվում են թարմացման և նրանով, թե ում մոտ է գտնվում գաղտնի բանալին։
Ընտրեք մատակարարման այն ուղին, որը համապատասխանում է նրան, թե ով կարող է թարմացնել վկայականը, այլ ոչ այն, որը պատահաբար ստեղծեց վավեր տեսք ունեցող ֆայլ։
Ինչ է ավելացնում փոխադարձ նույնականացումը
Վկայականի վրա հիմնված հաճախորդի նույնականացման ընտրությունը ավելացնում է երկրորդ հարց։ որ հաճախորդները ընդհանրապես կարող են միանալ։ Յուրաքանչյուրք հաճախորդ ներկայացնում է իր վկայականը և ապացուցում համապատասխան գաղտնի բանալին տիրախությունը։ Հենց առանձին ինքնություններն են հետո հնարավոր դարձնում ընտրովի չեղարկումը։ Մեկ հաճախորդի բանալին բոլոր սարքերի վրա պատճենը հանգստության մեջ շարքում է այդ հատկությունը, նույնիսիսով, երբ սերվերի վկայականը ձեռք բերված է անթերքությունից։
Վերջնակետի նույնականացման եղանակը ընտրություն է, ոչ համաշխարհային պահանջ։
Active Directory-ն և դաշնային նույնականացումը նույն հարցին պատասխանում են այլ միջոցներով։ Փոխադարձ վկայականի բաղադրատոմսը ինքնաբերությամբ այդ տեղադրումների մուտքի ձևվը չէ, և սերվերի TLS ստուգումը ուժի մեջ մնում անկախ նրանից, թե ինչպես է օգտատերը ներս թողնվում։
Ինչու նույն CA ARN-ը բանալիների կիսում չէ
AWS-ը փաստագրում է, որ երբ սերվերի և հաճախորդի վկայականները թողարկում է նույն CA-ն, սերվերի վկայականի ARN-ը կարող է օգտագործեل նաև հաճախորդի վկայականի ընտրության համար։ Այդ նախադասությունը վերաբերում է շղթային, որին վերջնակետը վստահում է ստուգման ժամանակ։ Այն հաճախորդներին չի ասում օգտվել սերվերի գաղտնի բանալին։ Նոթբուքը դեռ կարիք ունի իր հաճախորդի վկայականին և իր համապատասխան բանալին։
Երբ հաճախորդի CA-ն այլ թողարկող է, փաստագրված ուղին այդ CA-ն ACM ներմուծելն է և այն ընտրել հաճախորդի դերի համար։
Ձախողումը հետ տարեք մինևև փուլը
Նախքան ինչ-որ բան փոխարինելուցս, որոշեք, թե որ փուլն է ձախողվում։ Եթե հաճախորդը մերժում է վերջնակետը, կասկածելին սերվերի ARN-ն կամ դրա շղթան։ Եթե վերջնակետը մերժում է հաճախորդին, նայեք հաճախորդի վկայականին, դրա թողարկողին և ընտրված նույնականացման եղանակին։ Եթե թունելը բարձրանում է, իսկ երթևը դեռ ձախողվում է, դուք արդեն անցել եք վկայականներից։
Փոխարինեք մեկ օբյեկտ միանգամից, քանի որ երկու ծայրերը միասին փոխարինելու վերարտադրում է այն երկարությունը, որով սկսել եք։
Ստուգեք նաև ծառայության աջակցվող բանալին ալգորիտմները և տուվյալ ընդլայնումները կոնկրետ դերի համար։ Հասարակային կայքը բավարարող վկայականը ապացույց չէ, որ Client VPN-ի ինքնության բոլոր պահանջները բավարարված են։
Գրեք, թե որ դաշտը ինչ ARN է պահում, որ CA-ն է թողարկել հաճախորդի վկայականը և իրոք նույնականացման եղանակ է օգտագործում վերջնակետը։ Հաշվետվության երեք տողը հաջորդ թարմացումը հետազոտությունից վերաձում են առաջադրանքի։