VPN сертификатын көшіру кілтті көшірмейді

Шолу клиенттің сертификаттар тізімінен басталады, онда жазба тек атауды, шығарушыны және мерзімінің біту күнін көрсетеді, басқа ештеңе жоқ. Оны экспорттап, екінші құрылғыға импорттаңыз, және қосылым қабылданбайды, себебі клиент жеке кілтке ие екенін дәлелдей алмайды. Файл толық көшірілген; қате — сертификат өз кілтін алып жүреді деп күту. Форматты таңдамас бұрын экспорт диалогын оқыңыз, содан кейін шын мәнінде алған файлды тексеріңіз.

Екі басу, екі мүлде басқа артефакт.

Файл кеңейтімсін емес, экспорт диалогын оқыңыз

DER немесе PEM сертификат экспортында ашық кілт пен қол қойылған жеке бас тұжырымдары бар, бұл серверге сізге сену үшін, ал клиентке серверді тексеру үшін қажет. PKCS#12 бумасы — сертификатты, оның тізбегін және сәйкес жеке кілтті сақтай алатын, құпиясөзбен қорғалған контейнер, алайда оны кілтсіз де жасауға болады.

PEM — бұл тек мәтіндік кодтау, мазмұн туралы уәде емес. Бір кеңейтім жалғыз сертификатты немесе бірнеше таңбаланған блоктары бар файлды сипаттауы мүмкін, және қайсысы екенін экспорт параметрлері шешеді.

Сондықтан пайдалы сұрақ — қандай кеңейтім алғаныңыз емес, файлда қандай блоктар бар екені. Кілтсіз экспортталған бума да бума болып қалады. Форматтың танымалдығын емес, мазмұнды тексеріңіз.

Шын мәнінде не алғаныңызды тексеріңіз

Бірдеңе импорттамас бұрын таңбаларды іздеңіз, содан кейін қандай жеке басқа ие екеніңізді растау үшін сертификат өрістерін оқыңыз. Тексерулерді нақты импортталатын файлда орындаңыз. Әр қайта экспорттан кейін оларды қайталаңыз, себебі параметрлер өзгеруі мүмкін.

grep -E 'BEGIN (CERTIFICATE|PRIVATE KEY|ENCRYPTED PRIVATE KEY)' bundle.pem
openssl x509 -in client.crt -noout -subject -issuer -dates
openssl pkey -in client.key -noout -text | head -5
openssl pkcs12 -info -in client.p12 -noout

Тек сертификат блогы бар экспорт — жария нысан және аутентификация жасай алмайды. Сертификатсыз кілт блогы сізді сервер күтетін тізбектен қағып қалдырады. PKCS#12 ақпараттық шығысы кілттің барын да хабарлайды, бұл сол формат үшін мәселені шешеді. Ол алгоритм мен кілт өлшемін де атайды және кілт болмаса, толығымен сәтсіз аяқталады.

Жеке кілті бар файлды қолдау ағынына, мәселе трекеріне немесе чатқа ешқашан қоймаңыз, ол бұрын бөліскен сертификатқа ұқсаса да. Кілт панелінің скриншоттары да сондай сақтықты талап етеді.

Кілт көшіру мүмкін емес жерде тұруы мүмкін

Басқарылатын құрылғыларда жеке кілт операциялық жүйенің кілттер шоғырында, аппараттық токенде немесе қауіпсіз анклавта болуы мүмкін, ал саясат оны экспортталмайтын деп белгілейді. Сонда сертификат менеджері жария нысанды көрсетеді, құпия өз орнында қалады, және ешбір экспорт командасы тасымалданатын көшірме жасамайды. Мобильді құрылғыларды басқару арқылы тіркеу көбіне дәл осылай жұмыс істейді.

Бұл — бақылау, айналып өтуге тиісті кедергі емес. Жария сертификаттан жеке кілтті қалпына келтіру мүмкін емес, және мұны мәлімдейтін кез келген құрал басқа нәрсе жасайды.

Көшірудің орнына жаңа жеке бас тіркеңіз

Қолдау көрсетілетін жол әдетте мынау: жаңа құрылғы үшін жеке сертификат тіркеп, ескісін қызметтен шыққанда кері қайтарып алу, осылайша әр құрылғыны дербес қайтаруға болады. Кілтпен экспорт шынымен рұқсат етілген жерде алынған файл мен оның құпиясөзін тіркелгі деректері ретінде қарастырыңыз: тыныштықта шифрланған, сенімді арна арқылы берілген және тіркеу аяқталғанда жойылған.

Импортталған жеке баспен аутентификация жасап тексеріңіз, импорттың сәтті өткеніне қарап емес. Жария сертификатты өз қоймасына қабылдаған клиент кілт туралы ештеңе дәлелдеген жоқ.

Сервер жаңа жеке басты қабылдайтынын және ескісі әлі де саясат көздегендей әрекет ететінін растаумен аяқтаңыз. Осылайша шолу дұрыс көрінетін файлмен емес, дәлелмен аяқталады.