AWS Client VPN: sertifikat server versus peran sertifikat klien
Sertifikat server endpoint membuktikan layanan. Autentikasi timbal balik menambah identitas per klien dan kepercayaan CA tanpa membagikan kunci server.
Endpoint Client VPN selalu membutuhkan sertifikat server TLS. Itulah identitas yang ditampilkan endpoint terkelola saat klien terhubung. Ini objek yang berbeda dari sertifikat yang ditampilkan klien individual saat autentikasi timbal balik dipakai. Menukar keduanya adalah alasan paling umum mengapa penyiapan ACM yang sebenarnya benar tetap gagal pada koneksi pertama.
Berikut ini penelusuran dari konsol ke luar, dalam urutan yang benar-benar dilalui koneksi.
Dua peran, satu endpoint
Endpoint memiliki identitas server dan, secara opsional, cara memverifikasi identitas klien. Keduanya dikonfigurasi terpisah. Satu menentukan apakah klien dapat memercayai layanan; yang lain menentukan apakah layanan menerima klien.
| Material | Purpose | Where it lives |
|---|---|---|
| Server certificate and private key | The managed endpoint proves its TLS identity | ACM, in the endpoint's Region |
| Client certificate and matching key | An individual client proves its identity | On the device |
| CA trust material | The verifier checks the issuer chain | Selected for the client role |
Bacalah tabel sebagai tiga persyaratan independen, bukan sebagai satu sertifikat. Sertifikat server dan kunci privatnya tetap pada layanan. Sertifikat klien dan kunci privat yang cocok berada di perangkat. Materi CA adalah yang dipakai pemverifikasi untuk memeriksa rantai. Hanya baris tengah yang pernah berada di laptop.
Apa yang dilakukan sertifikat server ACM
Saat membuat endpoint, sertifikat server harus tersedia di ACM di Region yang sama dengan endpoint. Konsol meminta ARN, dan ARN itu harus dapat diselesaikan di sana. ACM dapat menyimpan sertifikat yang Anda sediakan dengan validasi domain, atau yang Anda impor beserta kunci dan rantainya. Keduanya berfungsi dalam peran ini; keduanya berbeda dalam pembaruan dan dalam siapa yang memegang kunci privat.
Pilih jalur penyediaan yang sesuai dengan siapa yang dapat memperbarui sertifikat, bukan yang kebetulan menghasilkan berkas yang tampak valid.
Apa yang ditambahkan autentikasi timbal balik
Memilih autentikasi klien berbasis sertifikat menambahkan pertanyaan kedua: klien mana yang boleh terhubung sama sekali. Setiap klien menampilkan sertifikatnya sendiri dan membuktikan kepemilikan kunci privat yang cocok. Identitas terpisah itulah yang memungkinkan pencabutan selektif nanti. Menyalin satu kunci klien ke setiap perangkat diam-diam membuang sifat itu, bahkan ketika sertifikat server diperoleh dengan sempurna.
Metode autentikasi endpoint adalah pilihan, bukan persyaratan universal.
Active Directory dan autentikasi terfederasi menjawab pertanyaan yang sama dengan cara lain. Resep sertifikat timbal balik tidak otomatis menjadi desain login untuk penerapan tersebut, dan verifikasi TLS server tetap berlaku terlepas dari bagaimana pengguna diizinkan masuk.
Mengapa ARN CA yang sama bukan berbagi kunci
AWS mendokumentasikan bahwa ketika sertifikat server dan klien diterbitkan oleh CA yang sama, ARN sertifikat server juga dapat dipakai untuk pemilihan sertifikat klien. Kalimat itu tentang rantai mana yang dipercaya endpoint untuk verifikasi. Kalimat itu tidak menyuruh klien memakai kunci privat server. Laptop tetap membutuhkan sertifikat kliennya sendiri dan kunci yang cocok sendiri.
Ketika CA klien adalah penerbit berbeda, jalur yang didokumentasikan adalah mengimpor CA itu ke ACM dan memilihnya untuk peran klien.
Lacak kegagalan kembali ke tahap
Identifikasi tahap mana yang gagal sebelum Anda mengganti apa pun. Jika klien menolak endpoint, ARN server atau rantainya adalah tersangka. Jika endpoint menolak klien, periksa sertifikat klien, penerbitnya, dan metode autentikasi yang dipilih. Jika terowongan naik dan lalu lintas masih gagal, Anda sudah melewati sertifikat.
Ganti satu objek pada satu waktu, karena menukar kedua ujung sekaligus mereproduksi ambiguitas yang Anda mulai.
Periksa juga algoritma kunci yang didukung dan ekstensi yang diperlukan layanan untuk peran tertentu. Sertifikat yang memenuhi situs web publik bukan bukti bahwa semua persyaratan identitas Client VPN telah terpenuhi.
Catat ARN mana yang dipegang tiap bidang, CA mana yang menerbitkan sertifikat klien, dan metode autentikasi mana yang benar-benar dipakai endpoint. Tiga baris catatan mengubah pembaruan berikutnya menjadi tugas, bukan penyelidikan.