სერტიფიკატი Windows-ში ჩანს, მაგრამ OpenVPN მის გასაღებს ვერ იყენებს

სერტიფიკატი ჩანს Windows-ის სერტიფიკატების მთვალიერებელში და მიუხედავად ამისა კლიენტი მას ვერ იყენებს. სერტიფიკატის დანახვა მხოლოდ იმას ამტკიცებს, რომ საცავში არსებობს საჯარო ობიექტი. ის არ ამტკიცებს, რომ კავშირის პროცესი იპოვის შესაბამის პირად გასაღებს ან რომ მისი გამოყენების უფლება აქვს.

სამი ობიექტი უნდა დაემთხვეს. არჩეული სერტიფიკატი, მის უკან მდგარი პირადი გასაღები და ანგარიში, რომლის ქვეშაც კლიენტი მუშაობს, ცალკეული რამ არის და თითოეული დამოუკიდებლად შეიძლება ჩავარდეს.

სამი ობიექტი, სამი პასუხი

Windows-ზე OpenVPN-ის საზოგადოებრივი ვერსია აღწერს CryptoAPI საცავის ამომრჩევს, cryptoapicert, რომელიც იღებს თითის ანაბეჭდს. მნიშვნელობა უნდა მიუთითებდეს იმ სერტიფიკატზე, რომლის გამოყენებასაც ნამდვილად აპირებთ და არა მსგავსი სახელის მქონე სხვაზე. OpenVPN-ზე დაფუძნებულ სხვა აპლიკაციებს შეიძლება სრულიად განსხვავებული იმპორტის მოდელი ჰქონდეთ, ამიტომ ამომრჩევი მტკიცებულებაა მხოლოდ იმ აწყობისთვის, რომელიც მას აღწერს. სანამ ქვემოთ რაიმეს გამართავთ, დაადასტურეთ, რომ თქვენი კლიენტი ამ მექანიზმს ახორციელებს.

თუ აწყობა ამომრჩევს არ უჭერს მხარს, გამოსავალი სხვა პროფილის ფორმატია და არა სხვა სერტიფიკატი.

მიჰყავს ამომრჩევი სწორ იდენტობამდე

საჯარო სერტიფიკატის იმპორტი მისი პირადი გასაღების გარეშე შეიძლება. მთვალიერებელი ორივე შემთხვევაში აჩვენებს მას და სწორედ ამიტომ გამოიყურება ეს ჩავარდნა ისე, თითქოს კლიენტი უგულებელყოფს აშკარად არსებულ სერტიფიკატს. შეამოწმეთ გასაღების კავშირი და არა მხოლოდ ჩანაწერის არსებობა.

განახლებული სერტიფიკატი მეორე ხაფანგს ამატებს. ორივე ჩანაწერი შეიძლება დარჩეს საცავში, სანამ პროფილი ჯერ კიდევ ძველ ანაბეჭდს ასახელებს და კლიენტი განაგრძობს იმ იდენტობის არჩევას, რომლის გაუქმებაც გსურდათ.

სანამ ნებართვებს შეხედავთ, შეამოწმეთ რომელ იდენტობამდე მიჰყავს ამომრჩევი. არასწორი ანაბეჭდი ისე ჩავარდება, როგორც დაკარგული გასაღები.

შეუძლია ამ ანგარიშს გასაღების გამოყენება

გასაღებზე წვდომა ანგარიშის მიხედვითაა. სერვისს, დაგეგმილ ამოცანას და ინტერაქტიულ სამუშაო მაგიდის სესიას შეიძლება ჰქონდეს საცავის განსხვავებული ხედი და პირადი გასაღების გამოყენების განსხვავებული ნებართვა. ის, რომ სერტიფიკატი თქვენს სესიაში ჩანს, სერვისის ანგარიშზე არაფერს ამბობს.

აპარატურულად მხარდაჭერილ გასაღებს შეიძლება დასჭირდეს მისი მომწოდებელი და დადასტურების ნაბიჯი. სერვისს, რომელსაც მოთხოვნის ჩვენება არ შეუძლია, გასაღების ჩვეულებრივ ფაილში ექსპორტი არ იხსნის.

სანამ რაიმეს შეცვლით, წაიკითხეთ ლოკალური შეცდომა. არჩევის ჩავარდნა, ხელმოწერის ჩავარდნა და სერვერის უარი სამი განსხვავებული შედეგია. მხოლოდ პირველი ორია ლოკალური. მესამე ნიშნავს, რომ გასაღებმა იმუშავა და სერვერმა სერტიფიკატის წინააღმდეგ გადაწყვიტა.

ლოკალური გამოყენება სერვერის მიღებას არ ნიშნავს

ლოკალური წარმატება ნებართვა არ არის. მას შემდეგ, რაც კლიენტი თავისი გასაღებით მოაწერს ხელს, სერვერი მაინც აფასებს გამომცემელს, მოქმედების ვადას, როლს და საკუთარ წვდომის პოლიტიკას. სხვა სერტიფიკატი იმავე CA-დან ავტომატურად არ ატარებს იგივე VPN უფლებებს.

სერვერს სჭირდება ნდობის ჯაჭვი და არა კლიენტის პირადი გასაღების ასლი. გასაღების სერვერზე გაგზავნა არასოდეს არის გადამოწმების პრობლემის შეკეთება.

დაამუშავეთ ჩავარდნა თანმიმდევრობით

შეინახეთ შეცდომის ზუსტი ტექსტი. გასაღების ნებართვის ნაკლებობა არ უნდა იქცეს CA-ის შეცვლად, ხოლო სერვერის უარი — საცავის შეკეთებად. თითოეულს თავისი მტკიცებულება აქვს.

იმუშავეთ იმ თანმიმდევრობით, რომლითაც ჩავარდნა ვლინდება: ამომრჩევი, გასაღები, ანგარიში და შემდეგ სერვერის პოლიტიკა. საზოგადოების კლიენტის ცნობარი აღწერს Windows-ის საცავის ამომრჩევს იმ ვერსიისთვის, რომელსაც ამუშავებთ.