AWS Client VPN: сервер сертификаты және клиент сертификатының рөлі
Соңғы нүктенің сервер сертификаты қызметті дәлелдейді. Өзара аутентификация әрбір клиенттің жеке басын және CA-ға сенімді сервер кілтін бөліспей қосады.
Client VPN соңғы нүктесіне әрқашан TLS сервер сертификаты қажет. Бұл — басқарылатын соңғы нүктенің клиент қосылғанда ұсынатын жеке басы. Бұл өзара аутентификация кезінде жекелеген клиенттер ұсынатын сертификаттардан өзге объект. Осы екеуін шатастыру — өзге жағынан дұрыс ACM конфигурациясының бірінші қосылымда-ақ сәтсіз аяқталуының ең жиі себебі.
Төменде консольден сыртқа қарай, қосылым шынымен жүретін ретпен шолу берілген.
Екі рөл, бір соңғы нүкте
Соңғы нүктенің сервер жеке басы және қаласа, клиенттердің жеке басын тексеру тәсілі бар. Бұлар бөлек конфигурацияланады. Біреуі клиент қызметке сене ала ма дегенді шешеді; екіншісі қызмет клиентті қабылдай ма дегенді шешеді.
| Material | Purpose | Where it lives |
|---|---|---|
| Server certificate and private key | The managed endpoint proves its TLS identity | ACM, in the endpoint's Region |
| Client certificate and matching key | An individual client proves its identity | On the device |
| CA trust material | The verifier checks the issuer chain | Selected for the client role |
Кестені бір сертификат емес, үш тәуелсіз талап ретінде оқыңыз. Сервер сертификаты мен оның жеке кілті қызмет жағында қалады. Клиент сертификаты мен оған сәйкес жеке кілт құрылғыда сақталады. CA материалы — тексеруші тізбекті тексеретін нәрсе. Ноутбукта әрқашан тек ортаңғы жол ғана болады.
ACM сервер сертификаты не істейді
Соңғы нүктені жасағанда сервер сертификаты ACM ішінде соңғы нүктемен бір аймақта болуы керек. Консоль ARN сұрайды, сол ARN сонда шешілуі тиіс. ACM доменді тексерумен берілген сертификатты немесе кілтімен және тізбегімен бірге импорттаған сертификатты сақтай алады. Екеуі де бұл рөлде жұмыс істейді; олар жаңарту және жеке кілттің кімде екені бойынша ерекшеленеді.
Сертификатты кім жаңарта алатынына қарай беру жолын таңдаңыз, жарамды болып көрінетін файл шығарған жолды емес.
Өзара аутентификация не қосады
Сертификатқа негізделген клиент аутентификациясын таңдау екінші сұрақты қосады: қандай клиенттерге жалпы қосылуға рұқсат. Әр клиент өз сертификатын ұсынып, сәйкес жеке кілтке ие екенін дәлелдейді. Дәл бөлек жеке бастар кейін таңдамалы кері қайтарып алуға мүмкіндік береді. Бір клиент кілтін барлық құрылғыға көшіру бұл қасиетті тыныш тастайды, сервер сертификаты мінсіз алынған күнде де.
Соңғы нүктенің аутентификация әдісі — таңдау, ал жалпыға бірдей талап емес.
Active Directory және федеративтік аутентификация сол сұраққа басқа құралдармен жауап береді. Өзара сертификат рецепті бұл орналастырулар үшін автоматты түрде кіру дизайны бола бермейді, ал сервердің TLS тексеруі пайдаланушының қалай жіберілгеніне қарамастан күшінде қалады.
Неліктен бір CA ARN кілт бөлісу емес
AWS, сервер және клиент сертификаттары бір CA-дан берілсе, сервер сертификатының ARN-ін клиент сертификатын таңдау үшін де пайдалануға болатынын құжаттайды. Ол сөйлем соңғы нүктенің тексеру кезінде қай тізбекке сенетіні туралы. Ол клиенттерге сервердің жеке кілтін пайдалануды тапсырмайды. Ноутбукке әлі де өз клиент сертификаты мен өз сәйкес кілті қажет.
Клиенттің CA-сы басқа беруші болса, құжатталған жол — сол CA-ны ACM-ге импорттап, оны клиент рөліне таңдау.
Ақауды кезеңге қайтарыңыз
Бірдеңені ауыстырмас бұрын қай кезеңнің сәтсіз екенін анықтаңыз. Клиент соңғы нүктені қабылдамаса, күдікті — сервер ARN-і немесе оның тізбегі. Соңғы нүкте клиентті қабылдамаса, клиент сертификатын, оның берушісін және таңдалған аутентификация әдісін қараңыз. Туннель көтеріліп, трафик әлі де сәтсіз болса, сертификаттардан әлдеқашан өттіңіз.
Бір уақытта бір нысанды ауыстырыңыз, өйткені екі ұшты бірге ауыстыру сіз бастаған белгісіздікті қайта шығарады.
Сондай-ақ нақты рөл үшін қызметтің қолдайтын кілт алгоритмдерін және қажетті кеңейтімдерін тексеріңіз. Жалпыға қолжетімді сайтты қанағаттандыратын сертификат Client VPN-нің барлық жеке бас талаптары орындалғанын дәлелдемейді.
Әр өрісте қандай ARN бар екенін, клиент сертификатын қай CA бергенін және соңғы нүкте шын мәнінде қандай аутентификация әдісін қолданатынын жазып қойыңыз. Үш жол жазба келесі жаңартуды тергеу емес, тапсырмаға айналдырады.