AWS Client VPN: certificato del server e ruolo del certificato del client
Il certificato del server dell'endpoint prova il servizio. L'autenticazione reciproca aggiunge identità per client e fiducia nella CA senza condividere la chiave del server.
Un endpoint Client VPN ha sempre bisogno di un certificato TLS del server. È l'identità che l'endpoint gestito presenta quando un client si connette. È un oggetto diverso dai certificati che i singoli client presentano quando è in uso l'autenticazione reciproca. Confondere i due è la ragione più comune per cui una configurazione ACM per il resto corretta fallisce ancora alla prima connessione.
Ecco un percorso dalla console verso l'esterno, nell'ordine che una connessione attraversa davvero.
Due ruoli, un endpoint
L'endpoint possiede un'identità del server e, facoltativamente, un modo per verificare le identità dei client. Questi elementi si configurano separatamente. Uno decide se il client può fidarsi del servizio; l'altro decide se il servizio accetta il client.
| Material | Purpose | Where it lives |
|---|---|---|
| Server certificate and private key | The managed endpoint proves its TLS identity | ACM, in the endpoint's Region |
| Client certificate and matching key | An individual client proves its identity | On the device |
| CA trust material | The verifier checks the issuer chain | Selected for the client role |
Leggete la tabella come tre requisiti indipendenti anziché come un solo certificato. Il certificato del server e la sua chiave privata restano presso il servizio. Un certificato del client e la chiave privata corrispondente vivono sul dispositivo. Il materiale della CA è ciò che un verificatore usa per controllare la catena. Solo la riga centrale appartiene mai a un portatile.
Che cosa fa il certificato del server ACM
Quando create l'endpoint, il certificato del server deve essere disponibile in ACM nella stessa regione dell'endpoint. La console chiede un ARN, e quell'ARN deve risolversi lì. ACM può contenere un certificato che avete fornito con la convalida del dominio, o uno che avete importato insieme alla chiave e alla catena. Entrambi funzionano in questo ruolo; differiscono nel rinnovo e in chi detiene la chiave privata.
Scegliete il percorso di approvvigionamento che corrisponde a chi può rinnovare il certificato, non quello che per caso ha prodotto un file dall'aspetto valido.
Che cosa aggiunge l'autenticazione reciproca
Selezionare l'autenticazione del client basata su certificato aggiunge una seconda domanda: quali client possono connettersi. Ogni client presenta il proprio certificato e prova di possedere la chiave privata corrispondente. Sono le identità separate a rendere possibile in seguito una revoca selettiva. Copiare una chiave del client su ogni dispositivo scarta silenziosamente questa proprietà, anche quando il certificato del server è stato ottenuto perfettamente.
Il metodo di autenticazione dell'endpoint è una scelta, non un requisito universale.
Active Directory e l'autenticazione federata rispondono alla stessa domanda con altri mezzi. Una ricetta con certificato reciproco non è automaticamente il progetto di accesso per quelle distribuzioni, e la verifica TLS del server resta in vigore indipendentemente da come l'utente viene ammesso.
Perché lo stesso ARN della CA non è condivisione di chiavi
AWS documenta che, quando i certificati del server e del client sono emessi dalla stessa CA, l'ARN del certificato del server può essere usato anche per la selezione del certificato del client. Quella frase riguarda a quale catena l'endpoint si fida per la verifica. Non dice ai client di usare la chiave privata del server. Un portatile ha ancora bisogno del proprio certificato del client e della propria chiave corrispondente.
Quando la CA del client è un emittente diverso, il percorso documentato è importare quella CA in ACM e selezionarla per il ruolo del client.
Risalire dal guasto a una fase
Individuate quale fase fallisce prima di sostituire qualsiasi cosa. Se il client rifiuta l'endpoint, l'ARN del server o la sua catena sono i sospetti. Se l'endpoint rifiuta il client, guardate il certificato del client, il suo emittente e il metodo di autenticazione scelto. Se il tunnel si alza e il traffico fallisce ancora, avete superato i certificati.
Sostituite un oggetto alla volta, perché scambiare entrambe le estremità insieme riproduce l'ambiguità con cui avete iniziato.
Controllate anche gli algoritmi di chiave supportati e le estensioni richieste dal servizio per il ruolo specifico. Un certificato che soddisfa un sito web pubblico non è prova che tutti i requisiti di identità di Client VPN siano stati soddisfatti.
Annotate quale ARN contiene ogni campo, quale CA ha emesso il certificato del client e quale metodo di autenticazione l'endpoint usa davvero. Tre righe di registrazione trasformano il prossimo rinnovo in un compito anziché in un'indagine.