AWS Client VPN: სერვერის სერტიფიკატი და კლიენტის სერტიფიკატის როლი
საბოლოო წერტილის სერვერის სერტიფიკატი ადასტურებს სერვისს. ორმხრივი ავთენტიფიკაცია ამატებს თითოეული კლიენტის იდენტობას და CA-ს ნდობას სერვერის გასაღების გაზიარების გარეშე.
Client VPN-ის საბოლოო წერტილს ყოველთვის სურდება TLS სერვერის სერტიფიკატი. ეს არის იდენტობა, რომელსაც მართული საბოლოო წერტილი წარმოადგენს, როცა კლიენტი უკავშირდება. ეს სხვა ობიექტია, ვიდრე სერტიფიკატები, რომელსაც ცალკეული კლიენტები წარმოადგენენ ორმხრივი ავთენტიფიკაციის დროს. ამ ორის გაართიანება ყველაზე გავრცელებული მიზეზია, თუ რატომ სხვაგვარ სწორი ACM კონფიგურაცია პირველივე კავშირზე იშლება.
ქვემოთ მოცემულია გადასვლა კონსოლიდან გარეთ, იმ თანმედევრობით, რომლითაც კავშირი რეალურად გაის.
ორი როლი, ერთი საბოლოო წერტილი
საბოლოო წერტილს აქვს სერვერის იდენტობა და, სურვილისამებრ, კლიენტების იდენტობის შემოწმების საშუალება. ეს ორი ცალ-ცალკე კონფიგურირდება. ერთი წყვეტს შეუძლია თუ არა კლიენტს სერვისის ნდობა; მეორე წყვეტს, მიიღებს თუ არა სერვისი კლიენტს.
| Material | Purpose | Where it lives |
|---|---|---|
| Server certificate and private key | The managed endpoint proves its TLS identity | ACM, in the endpoint's Region |
| Client certificate and matching key | An individual client proves its identity | On the device |
| CA trust material | The verifier checks the issuer chain | Selected for the client role |
ცხრილი წაიკითეთ როგორც სამი დამოუკიდებელი მოთხოვნა და არა როგორც ერთი სერტიფიკატი. სერვერის სერტიფიკატი და მისი პირადი გასაღები სერვისთან რჩება. კლიენტის სერტიფიკატი და მისი შესაბამისი პირადი გასაღები მოწყობილობაზეა. CA-ს მატერიალი არის ის, რასაც დამამოწმებელი ჯაჭვის შესამოწმებლად იყენებს. მხოლოდ შუა სტრიქონი ეკუთვნის ოდესმე ლეპტოპს.
რას აკეთებს ACM-ის სერვერის სერტიფიკატი
საბოლოო წერტილის შექმნისას სერვერის სერტიფიკატი ხელმისაწვდომი უნდა იყოს ACM-ში იმავე რეგიონში, სადაც საბოლოო წერტილია. კონსოლი ითხოვს ARN-ს და ეს ARN იქ უნდა გადაწყდეს. ACM-ს შეუძლია შეინახოს სერტიფიკატი, რომელიც დომენის ვალიდაცით მოგიპოვიათ, ან ის, რომელიც გასაღებთან და ჯაჭვთან ერთად იმპორტი გაგიქეთებიათ. ორივე მუშაობს ამ როლში; ისინი განსხვავდებიან განახლებითა და იმით, თუ ვის უქირავს პირადი გასაღები.
აირჩიეთ მომზადების ის გზა, რომელიც შეესაბამება იმას, თუ ვინ შეუძლია სერტიფიკატის განახლება და არა ის, რომელმაც შემთხვევით შექმნა სწორი მოჩვენებული ფაილი.
რას ამატებს ორმხრივი ავთენტიფიკაცია
სერტიფიკატზე დაფუძნებული კლიენტის ავთენტიფიკაციის არჩევა ამატებს მეორე კითხვას: რომელ კლიენტებს აქვთ საერთოდ დაკავშირების უფლება. თითოეული კლიენტი წარმოადგენს საკუთარ სერტიფიკატს და ამტკიცებს შესაბამისი პირადი გასაღების ფლობას. სწორედ განცალკევებული იდენტობები ხდის შემდგომ შერჩევით გაუქმებას შესაძლებელს. ერთი კლიენტის გასაღების ყველა მოწყობილობაზე კოპირება ჩუმად აგდებს ამ თვისებას, მაშინაც როცა სერვერის სერტიფიკატი უნაკლოდ არის მოპოვებული.
საბოლოო წერტილის ავთენტიფიკაციის მეთოდი არჩევად არა საყოველთაო მოთხოვნა.
Active Directory და ფედერაციული ავთენტიფიკაცია იმავე კითხვას სხვა საშუალებებით პასუხობენ. ორმხრივი სერტიფიკატის რეცეპტი ავტომატურად არ არის იმ განლაგებების შესვლის დიზაინი და სერვერის TLS შემოწმება ძალაში რჩება იმის მიუხედავად, როგორ შეუშვებენ მომხმარებელს.
რატომ არ არის იგივე CA ARN გასაღებების გაზიარება
AWS ადგენს, რომეც სერვერისა და კლიენტის სერტიფიკატებს ერთი და იგივე CA გამოსცემს, სერვერის სერტიფიკატის ARN შეიძლება გამოყენებულ იქნას კლიენტის სერტიფიკატის შერჩევისთვისაც. ის წინადადება ეხება იმ ჯაჭვს, რომელსაც საბოლოო წერტილი შემოწმებისას ენდობა. ის კლიენტებს არ ეუბნება, რომ სერვერის პირადი გასაღები გამოყენონ. ლეპტოპს მაინც სწირდება საკუთარი კლიენტის სერტიფიკატი და საკუთარი შესაბამისი გასაღები.
როცა კლიენტის CA სხვა გამომცემია, დოკუმენტირებული გზაა იმ CA-ს ACM-ში იმპორტი და კლიენტის როლისთვის მისი არჩევა.
დააბრუნეთ ჩავარდნა ეტაპამდე
სანამ რამეს შეცვლით, დაადგინეთ რომელი ეტაპი იშლება. თუ კლიენტი უარყოფს საბოლოო წერტილს, ეფქვიტმიტანი სერვერის ARN ან მისი ჯაჭვია. თუ საბოლოო წერტილი უარყოფს კლიენტს, შეხედეთ კლიენტის სერტიფიკატს, მის გამომცემს და არჩეულ ავთენტიფიკაციის მეთოდს. თუ გვირაბი ადის და ტრაფიკი კვლავ იშლება, სერტიფიკატებს უკვე გასცდით.
შეცვალეთ ერთი ობიექტი ერთდროულად, რადგან ორივე ბოლოს ერთად შეცვლა ამრავლებს იმ გაურკვევლობას, რომლითაც დაიწყეთ.
შეამოწმეთ ასევე სერვისის მხარდაჩერილი გასაღების ალგორითმები და საირო გავრცელებები კონკრეტული როლისთვის. სერტიფიკატი, რომელიც საჟარო ვებგერს აკმაყოფებს, არ არის მტკიცებულება იმისა, რომ Client VPN-ის იდენტობის ყველა მოთხოვნა დაკმაყოფილებულია.
ჩაწერეთ, რომელ ARN აქვს თითოეულ ველს, რომელმა CA-მ გამოსცა კლიენტის სერტიფიკატი და რომელ ავთენტიფიკაციის მეთოდს იყენებს საბოლოო წერტილი რეალურად. ჩანაწერის სამი სტრიქონი შემდგომ განახლებას გამოძიების ნაცვლად ამოცანად აქცევს.