Berkas CA mana yang masuk ke profil OpenVPN hanya kata sandi?

Lewati empat pertanyaan secara berurutan dan dialog CA tidak lagi ambigu. Materi apa yang sebenarnya diterbitkan operator, apa yang sudah dimuat profil, kolom mana yang bertanya, dan apa yang terjadi setelah berkas dimuat? Berhenti pada pertanyaan pertama yang tidak bisa Anda jawab dari instruksi operator sendiri, karena menebak melewatinya adalah cara sertifikat CA publik berakhir berpasangan dengan kunci privat yang seharusnya tidak pernah keluar dari server.

Urutannya penting: dua pertanyaan terakhir baru masuk akal setelah Anda tahu materi mana yang seharusnya ada.

Mulai dari apa yang sudah dimuat profil

Buka profil di editor teks dan cari blok ca sebelum mencari berkas. Blok ca sebaris yang memuat CA publik operator berarti profil sudah mandiri, dan klien yang masih meminta berkas CA mungkin membaca profil lain atau impor yang tidak lengkap. Jika profil malah memiliki baris ca yang menunjuk ke jalur, jalur itu relatif terhadap direktori kerja klien pada sebagian integrasi dan absolut pada yang lain. Catat bentuk mana yang Anda miliki sebelum mengubah apa pun.

ca /absolute/path/operator-ca.crt
auth-user-pass
remote-cert-tls server

Periksa paket yang dikirim untuk berkas yang dirujuk profil: sertifikat CA, kadang sertifikat klien dan kunci terpisah, dan mungkin berkas tls-auth atau tls-crypt. Profil yang merujuk empat berkas tetapi datang dengan dua tidak lengkap, dan tidak ada jumlah penunjukan kolom yang bisa memperbaikinya. Mintalah bagian yang hilang kepada operator alih-alih menggantinya dengan sertifikat yang kebetulan Anda miliki.

Pisahkan empat jenis materi

Sertifikat CA adalah materi publik yang dipakai untuk memverifikasi identitas server. Sertifikat klien mengidentifikasi pengguna atau perangkat kepada server. Kunci privat adalah separuh rahasia dari sertifikat klien itu, dan tidak boleh pernah menjadi kunci penandatangan CA atau kunci server. Materi tls-auth atau tls-crypt adalah rahasia bersama terpisah yang melindungi kanal kendali. Keempatnya tidak bisa dipertukarkan, dan mengarahkan kolom CA ke sertifikat klien menghasilkan kegagalan verifikasi yang tampak seperti masalah kepercayaan.

Autentikasi hanya kata sandi mengubah mana dari keempat yang Anda butuhkan, bukan maknanya. Dengan auth-user-pass dan remote-cert-tls server klien tetap memverifikasi server terhadap CA, karena itulah kolom CA muncul bahkan saat tidak ada sertifikat klien. Kebijakan operator yang memutuskan apakah sertifikat klien juga diperlukan, dan tidak ada dialog yang bisa memberi tahu Anda.

Arahkan klien ke berkas kepercayaan

Pilih berkas sertifikat CA itu sendiri, bukan folder yang memuatnya dan bukan bundel .p12 yang memuat identitas klien. Di Windows sintaks jalur dan pemilih berkas berperilaku berbeda dari contoh Linux di sebagian besar panduan, jadi gunakan yang diterima klien terpasang dan pastikan berkas dapat dibaca oleh akun yang menjalankannya. Masalah izin dan berkas yang hilang terlihat sama di dialog tetapi menghasilkan baris log berbeda. Setelah memilih, buka lagi pengaturan profil untuk memastikan klien menyimpan pilihan itu.

<ca>
-----BEGIN CERTIFICATE-----
...operator-provided public CA...
-----END CERTIFICATE-----
</ca>

Jika klien mendukung blok sebaris, utamakan profil sebaris dari operator daripada yang dirakit tangan. Materi sebaris ikut bersama profil dan bertahan saat impor ulang, sedangkan jalur absolut rusak begitu profil dipindahkan ke mesin lain.

Baca galat berikutnya, bukan yang sama

Tujuan memberikan CA yang benar adalah mengubah galatnya, bukan menghilangkannya. Kegagalan identitas server setelah CA dimuat berarti sertifikat tidak cocok dengan nama yang diharapkan atau dengan harapan remote-cert-tls, yang merupakan perbaikan berbeda dari penolakan kata sandi. Penolakan kata sandi berarti lapisan TLS berhasil dan kredensialnya salah. Simpan pesan baru pertama; itulah yang berguna.

Klien yang terhubung tetapi tidak mencapai apa pun sudah melewati kepercayaan sepenuhnya dan kini menghadapi pertanyaan perutean atau DNS.

Jangan pernah menonaktifkan verifikasi untuk melewati dialog itu. Klien yang menerima sertifikat apa pun tidak punya alasan meminta CA, dan terowongan yang dibangunnya bukan yang dimaksudkan operator.