AWS Client VPN: þjónustuskírteini á móti hlutverki biðlara-skírteinis

Client VPN endapunktur þarf alltaf TLS-þjónustuskírteini. Það er auðkennið sem stýrði endapunkturinn leggur fram þegar biðlari tengist. Það er annar hlutur en skírteinin sem einstakir biðlarar leggja fram þegar gagnkvæm auðkenning er notuð. Að rugla þessu tvennu saman er algengasta ástæðan fyrir því að annars rétt ACM-uppsetning mistekst samt við fyrstu tengingu.

Hér er gangur frá stjórnborðinu og út, í þeirri röð sem tenging fer í raun.

Tvö hlutverk, einn endapunktur

Endapunkturinn á þjónsauðkenni og, ef valið er, leið til að sannreyna auðkenni biðlara. Þetta er stillt hvort í sínu lagi. Annað ræður því hvort biðlarinn getur treyst þjónustunni; hitt ræður því hvort þjónustan tekur við biðlaranum.

Lestu töfluna sem þrjár sjálfstæðar kröfur frekar en eitt skírteini. Þjónustuskírteinið og einkalykill þess vera hjá þjónustunni. Biðlara-skírteini og samsvarandi einkalykill þess búa á tækinu. CA-efnið er það sem sannprófandi notar til að athuga keðjuna. Aðeins miðröðin tilheyrir nokkurn tíma fartölvu.

Hvað ACM-þjónustuskírteinið gerir

Þegar þú býrð til endapunktinn verður þjónustuskírteinið að vera til í ACM á sama svæði og endapunkturinn. Stjórnborðið biður um ARN og það ARN verður að leysast þar. ACM getur geymt skírteini sem þú útvegaðir með léni-sannprófun, eða það sem þú fluttir inn ásamt lykli og keðju. Bæði virka í þessu hlutverki; þeau eru ólík að endurnýjun og hver hefur einkalykilinn.

Veldu útvegunarleiðina sem passar við hver getur endurnýjað skírteinið, ekki þá sem varð fyrir tilviljun að búa til gildi-sjáandi skrá.

Hvað gagnkvæm auðkenning bætir við

Val á skírteinisbundinni biðlaraauðkenningu bætir við annarri spurningu: hvaða biðlarar mega tengjast yfirhöfuð. Hver biðlari leggur fram eigið skírteini og sannar að hann hafi samsvarandi einkalykil. Aðskilin auðkenni eru það sem gerir sértæka afturköllun mögulega síðar. Að afrita einn biðlaralykil á hvert tæki hendir þeirri eiginleika hljóðlega, jafnvel þeótt þjónustuskírteinið hafi verið fengið fullkomlega.

Auðkenningaraðferð endapunktsins er val, ekki algild krafa.

Active Directory og sambandsauðkenning svara sömu spurningu með öðrum hætti. Uppskrift með gagnkvæmu skírteini er ekki sjálfkrafa innskráningahönnunin fyrir þessar uppsetningar, og TLS-sannprófun þjónsins helst óbreytt óháð því hvernig notandinn er hleypt inn.

Hvers vegna sama CA-ARN er ekki lykladeiling

AWS skjalfestir að þeegar þjónustu- og biðlara-skírteini eru gefin út af sama CA má einnig nota ARN þjónustuskírteinisins við val á biðlara-skírteini. Þessi setning fjallar um hvaða keðju endapunkturinn treystir við sannprófun. Hún segir biðlurum ekki að nota einkalykil þjónsins. Fartölva þarf áfram eigið biðlara-skírteini og eigin samsvarandi lykil.

Þegar CA biðlarans er annar útgefandi, er skjalfesta leiðin að flytja það CA inn í ACM og velja það fyrir hlutverk biðlarans.

Rekja bilunina aftur til áfanga

Greindu hvaða áfanga mistekst áður en þú skiptir um nokkuð. Ef biðlarinn hafnar endapunktinum eru ARN þjónsins eða keðja þess grunsamleg. Ef endapunkturinn hafnar biðlaranum skoðaðu biðlara-skírteinið, útgefanda þess og valda auðkenningaraðferð. Ef göngin koma upp og umferð mistekst enn er þú kominn fram yfir skírteinin.

Skiptu um einn hlut í einu, því að skipta um báða enda samtímis endurtekur þá óskýrleika sem þú byrjaðir með.

Athugaðu einnig studda lykilalgríma þjónustunnar og nauðsynlegar viðbætur fyrir tiltekið hlutverk. Skírteini sem fullnægir opinberri vefsíðu er ekki sönnun þess að allar auðkenniskröfur Client VPN séu uppfylltar.

Skrifaðu niður hvaða ARN hvert svið heldur, hvaða CA gaf út biðlara-skírteinið og hvaða auðkenningaraðferð endapunkturinn notar í raun. Þrjár línur af skráningu gera næstu endurnýjun að verkefni í stað rannsóknar.