Quale file CA va in un profilo OpenVPN solo con password?

Percorrete quattro domande in ordine e la finestra CA smette di essere ambigua. Quale materiale ha effettivamente emesso l’operatore, cosa contiene già il profilo, quale campo chiede e cosa succede dopo il caricamento del file? Fermatevi alla prima domanda a cui non potete rispondere con le istruzioni dell’operatore stesso, perché indovinare oltre è proprio il modo in cui un certificato CA pubblico finisce abbinato a una chiave privata che non avrebbe mai dovuto lasciare il server.

L’ordine conta: le ultime due domande hanno senso solo quando sapete quale materiale dovrebbe esistere.

Iniziate da ciò che il profilo contiene già

Aprite il profilo in un editor di testo e cercate un blocco ca prima di cercare un file. Un blocco ca incorporato che contiene il CA pubblico dell’operatore significa che il profilo è autosufficiente, e un client che chiede ancora un file CA forse sta leggendo un altro profilo o un’importazione incompleta. Se il profilo ha invece una riga ca che punta a un percorso, quel percorso è relativo alla directory di lavoro del client in alcune integrazioni e assoluto in altre. Annotate quale forma avete prima di cambiare qualsiasi cosa.

ca /absolute/path/operator-ca.crt
auth-user-pass
remote-cert-tls server

Controllate il pacchetto consegnato per i file a cui il profilo fa riferimento: un certificato CA, talvolta un certificato client e una chiave separati, e possibilmente un file tls-auth o tls-crypt. Un profilo che fa riferimento a quattro file e arriva con due è incompleto, e nessuna quantità di indicazioni dei campi lo ripara. Chiedete all’operatore il pezzo mancante invece di sostituirlo con un certificato che avete per caso.

Separate quattro tipi di materiale

Il certificato CA è materiale pubblico usato per verificare l’identità del server. Un certificato client identifica l’utente o il dispositivo presso il server. Una chiave privata è la metà segreta di quel certificato client, e non deve mai essere la chiave di firma della CA né una chiave del server. Il materiale tls-auth o tls-crypt è un segreto condiviso separato che protegge il canale di controllo. Questi quattro non sono intercambiabili, e puntare il campo CA su un certificato client produce un errore di verifica che sembra un problema di fiducia.

Autenticazione solo con password cambia quale dei quattro vi serve, non cosa significano. Con auth-user-pass e remote-cert-tls server il client verifica ancora il server rispetto a una CA, per questo il campo CA appare anche quando non esiste alcun certificato client. È la politica dell’operatore a decidere se serve anche un certificato client, e nessuna finestra può dirvelo.

Puntate il client al file di fiducia

Selezionate il file di certificato CA stesso, non la cartella che lo contiene e non un pacchetto .p12 che contiene un’identità client. Su Windows la sintassi dei percorsi e il selettore di file si comportano diversamente dagli esempi Linux della maggior parte delle guide, quindi usate ciò che il client installato accetta e confermate che il file sia leggibile dall’account che lo esegue. Un problema di permessi e un file mancante sembrano uguali nella finestra ma producono righe di log diverse. Dopo la selezione riaprite le impostazioni del profilo per confermare che il client ha mantenuto la scelta.

<ca>
-----BEGIN CERTIFICATE-----
...operator-provided public CA...
-----END CERTIFICATE-----
</ca>

Se il client supporta blocchi incorporati, preferite il profilo incorporato dell’operatore a uno assemblato a mano. Il materiale incorporato viaggia con il profilo e sopravvive alla reimportazione, mentre un percorso assoluto si rompe nel momento in cui il profilo passa a un’altra macchina.

Leggete l’errore successivo, non lo stesso

Lo scopo di fornire il CA corretto è cambiare l’errore, non farlo sparire. Un errore di identità del server dopo il caricamento del CA significa che il certificato non corrispondeva al nome atteso né all’attesa remote-cert-tls, il che è una riparazione diversa da un rifiuto della password. Un rifiuto della password significa che il livello TLS è riuscito e che la credenziale è sbagliata. Tenetevi il primo messaggio nuovo; è quello utile.

Un client che si connette ma non raggiunge nulla ha superato del tutto la fiducia e ora affronta una questione di routing o DNS.

Non disattivate mai la verifica per superare quella finestra. Un client che accetta qualsiasi certificato non ha motivo di chiedere una CA, e il tunnel che costruisce non è quello che l’operatore intendeva.