Sertifikat terlihat di Windows tetapi OpenVPN tidak dapat memakai kuncinya

Sertifikat terlihat di penampil sertifikat Windows, tetapi klien tetap tidak dapat memakainya. Melihat sertifikat hanya membuktikan bahwa ada objek publik di sebuah penyimpanan. Itu tidak membuktikan bahwa proses koneksi menemukan kunci privat yang cocok atau diizinkan memakainya.

Tiga objek harus sejajar. Sertifikat yang dipilih, kunci privat di baliknya, dan akun tempat klien berjalan adalah hal yang terpisah, dan masing-masing bisa gagal sendiri-sendiri.

Tiga objek, tiga jawaban

Versi komunitas OpenVPN di Windows mendokumentasikan pemilih penyimpanan CryptoAPI, cryptoapicert, yang menerima sidik jari. Nilainya harus menunjuk sertifikat yang benar-benar ingin Anda pakai, bukan sertifikat lain dengan nama serupa. Aplikasi lain berbasis OpenVPN bisa punya model impor yang sama sekali berbeda, jadi pemilih itu hanya bukti bagi build yang mendokumentasikannya. Pastikan klien Anda menerapkan mekanisme ini sebelum menelusuri apa pun di hilir.

Jika build tidak mendukung pemilih itu, solusinya adalah format profil lain, bukan sertifikat lain.

Apakah pemilih menuju identitas yang tepat

Sertifikat publik dapat diimpor tanpa kunci privatnya. Penampil tetap menampilkannya, dan itulah sebabnya kegagalan ini tampak seperti klien mengabaikan sertifikat yang jelas ada. Periksa keterkaitan kuncinya, bukan hanya keberadaan entri.

Sertifikat yang diperbarui menambah jebakan kedua. Kedua entri bisa tetap berada di penyimpanan sementara profil masih menyebut sidik jari yang lebih lama, dan klien terus memilih identitas yang ingin Anda pensiunkan.

Periksa identitas mana yang dituju pemilih sebelum melihat izin. Sidik jari yang salah gagal dengan cara yang sama seperti kunci yang hilang.

Apakah akun ini dapat memakai kunci

Akses kunci bersifat per akun. Layanan, tugas terjadwal, dan sesi desktop interaktif dapat memiliki tampilan penyimpanan serta izin berbeda untuk memakai kunci privat. Sertifikat yang terlihat di sesi Anda sendiri tidak mengatakan apa pun tentang akun layanan.

Kunci yang didukung perangkat keras mungkin memerlukan penyedianya dan langkah konfirmasi. Layanan yang tidak dapat menampilkan perintah tidak akan tertolong dengan mengekspor kunci ke berkas biasa.

Baca galat lokal sebelum mengubah apa pun. Kegagalan pemilihan, kegagalan penandatanganan, dan penolakan dari server adalah tiga hasil berbeda. Hanya dua yang pertama bersifat lokal. Yang ketiga berarti kuncinya bekerja dan server memutuskan menolak sertifikat itu.

Pemakaian lokal bukan penerimaan dari server

Keberhasilan lokal bukan otorisasi. Setelah klien menandatangani dengan kuncinya, server tetap menilai penerbit, jendela masa berlaku, peran, dan kebijakan aksesnya. Sertifikat lain dari CA yang sama tidak otomatis membawa hak VPN yang sama.

Server memerlukan rantai kepercayaan, bukan salinan kunci privat klien. Mengirim kunci ke server tidak pernah menjadi perbaikan masalah verifikasi.

Tangani kegagalan secara berurutan

Simpan teks galat yang persis. Izin kunci yang hilang tidak boleh berubah menjadi perubahan CA, dan penolakan dari server tidak boleh berubah menjadi perbaikan penyimpanan. Masing-masing punya buktinya sendiri.

Bekerjalah dalam urutan munculnya kegagalan: pemilih, kunci, akun, lalu kebijakan server. Referensi klien komunitas mendokumentasikan pemilih penyimpanan Windows untuk versi yang Anda jalankan.