Kata sandi VPN yang benar tidak bisa menggantikan sertifikat yang hilang

Kredensial benar, profil terimpor dengan bersih, dan koneksi tetap gagal sebelum autentikasi selesai. Di Windows pesannya bisa berupa kesalahan 798, tentang sertifikat yang tidak ditemukan untuk metode EAP. Di OpenVPN log klien menunjukkan handshake TLS yang tidak pernah memuaskan server. Keduanya menggambarkan objek yang sama-sama hilang: sertifikat klien yang seharusnya diserahkan klien.

Kata sandi membuktikan pengetahuan atas sebuah rahasia; sertifikat membuktikan kepemilikan sebuah kunci, dan yang satu tidak menggantikan yang lain.

Kata sandi bukanlah masalahnya

Kesalahan 798 adalah kegagalan pencarian sertifikat. Klien diminta sertifikat yang cocok dengan metode autentikasi yang dikonfigurasi, menelusuri penyimpanannya dan tidak menemukan apa pun yang bisa dipakai. Itu bisa berarti sertifikatnya tidak ada, ada tanpa kunci privatnya, sudah kedaluwarsa, atau disimpan di tempat yang tidak terjangkau pencarian. Mencoba kata sandi lagi tidak bisa mengubah satu pun kondisi itu, karena itulah kesalahan kembali muncul meski kredensialnya benar.

Baca pesannya sebelum bertindak. Penolakan kredensial, kegagalan pencarian sertifikat, dan kegagalan handshake TLS adalah tiga temuan berbeda, dan hanya satu yang melibatkan kata sandi.

Apa yang harus dimuat penyimpanan klien

Ada dua objek yang terlibat. Sertifikat klien harus dipasang untuk pengguna yang menjalankan klien VPN, bersama kunci privatnya, dan akar penerbitnya harus dipercaya. File .cer hanya memuat sertifikat publik, jadi file itu sendiri tidak bisa mengautentikasi apa pun. Di pengelola sertifikat Windows, identitas klien berada di penyimpanan pribadi pengguna saat ini, dan akarnya di penyimpanan akar tepercaya.

Memasang identitas ke penyimpanan mesin, atau hanya ke penyimpanan akar, tidak memenuhi pencarian yang ditujukan ke penyimpanan pribadi pengguna. Periksa penyimpanan, tanda kunci privat, dan tanggal berlaku sekaligus, lalu mulai ulang klien agar membaca ulang penyimpanan.

Dua produk, kredensial yang sama-sama hilang

Server OpenVPN mewajibkan sertifikat klien secara bawaan. Menambahkan auth-user-pass ke klien mengirim nama pengguna dan kata sandi, dan handshake TLS tetap meminta sertifikat, jadi kata sandi saja tidak bisa menuntaskan koneksi di bawah verify-client-cert require. Server bisa diatur agar tidak mewajibkan apa pun, yang menjadikan kata sandi satu-satunya kredensial klien dan merupakan pengurangan kekuatan yang nyata. Skrip shell di balik auth-user-pass-verify dapat memvalidasi kredensial, dan itu memerlukan eksekusi skrip diaktifkan, sehingga menjadikannya rancangan yang lebih berisiko daripada backend autentikasi yang layak.

Profil yang hanya bergantung pada kata sandi juga bergantung pada opsi yang didorong, yang pada gilirannya bergantung pada mekanisme penarikan diaktifkan.

Jangan perbaiki sertifikat yang hilang dengan mematikan pemeriksaan

Godaannya adalah melonggarkan verifikasi agar pesannya menghilang. Itu menghapus kendali yang sedang menjalankan tugasnya dan meninggalkan koneksi yang tidak lagi membuktikan klaimnya. Jika gateway baru saja mengganti akarnya, unduh ulang paket klien alih-alih menyunting profil, karena paket lama mungkin masih membawa akar sebelumnya. Jika opsi autentikasi sertifikat tidak ada di penyunting profil, mungkin versi Windows yang terpasang tidak menampilkan metode itu; perbarui sistem alih-alih menyunting XML secara manual.

Catat penyimpanan mana yang memuat sertifikat, pengguna mana yang menjalankan klien, dan apakah kunci privatnya ada. Ketiganya menjelaskan hampir setiap kasus kegagalan ini.

Kata sandinya baik-baik saja. Kredensial yang sebenarnya dibutuhkan metode itu ada di tempat lain.