Дұрыс VPN құпия сөзі жоғалған сертификатты алмастыра алмайды

Тіркелгі деректері дұрыс, профиль таза импортталады, бірақ қосылым аутентификация аяқталмай тұрып сәтсіз болады. Windows-та хабарлама EAP әдісі үшін табылмаған сертификат туралы 798 қатесі болуы мүмкін. OpenVPN жүйесінде клиент журналы серверді ешқашан қанағаттандырмайтын TLS қол алысуды көрсетеді. Екеуі де бірдей жоғалған нысанды сипаттайды: клиент ұсынуы тиіс клиент сертификаты.

Құпия сөз құпияны білуді дәлелдейді; сертификат кілтке ие болуды дәлелдейді және біреуі екіншісін алмастырмайды.

Құпия сөз ешқашан мәселе болмаған

798 қатесі — сертификатты іздеудің сәтсіздігі. Клиенттен конфигурацияланған аутентификация әдісіне сәйкес келетін сертификат сұралды, ол өз қоймасын қарап шықты және ешбір жарамды нәрсе таппады. Бұл сертификат жоқ, жеке кілтінсіз бар, мерзімі біткен немесе іздеу жетпейтін жерде сақталған дегенді білдіруі мүмкін. Құпия сөзді қайталау осы шарттардың ешқайсысын өзгерте алмайды, сондықтан қате дұрыс деректермен де қайтады.

Әрекет етпес бұрын хабарламаны оқыңыз. Тіркелгі деректерін қабылдамау, сертификатты іздеудің сәтсіздігі және TLS қол алысудың сәтсіздігі — үш түрлі тұжырым, олардың тек біреуі құпия сөзге қатысты.

Клиент қоймасында не болуы керек

Екі нысан қатысады. Клиент сертификаты VPN клиентін іске қосатын пайдаланушы үшін жеке кілтімен бірге орнатылуы керек, ал шығарушы түбір сенімді болуы тиіс. .cer файлында тек ашық сертификат бар, сондықтан ол өздігінен ештеңені аутентификациялай алмайды. Windows сертификат менеджерінде клиенттің жеке басы ағымдағы пайдаланушының жеке қоймасында, ал түбір сенімді түбірлер қоймасында болады.

Жеке басты машина қоймасына немесе тек түбірлер қоймасына орнату пайдаланушының жеке қоймасына бағытталған іздеуді қанағаттандырмайды. Қойманы, жеке кілт белгісін және жарамдылық мерзімдерін бірге тексеріңіз, содан кейін қойманы қайта оқу үшін клиентті қайта қосыңыз.

Екі өнім, бірдей жоғалған дерек

OpenVPN серверлері әдепкі бойынша клиент сертификатын талап етеді. Клиентке auth-user-pass қосу пайдаланушы аты мен құпия сөзді жібереді, ал TLS қол алысу әлі де сертификат сұрайды, сондықтан тек құпия сөз verify-client-cert require жағдайында қосылымды аяқтай алмайды. Серверді ештеңе талап етпейтіндей етіп баптауға болады, бұл құпия сөзді клиенттің жалғыз дерегіне айналдырады және күште нақты төмендеу болып табылады. auth-user-pass-verify артындағы shell скрипті деректерді валидациялай алады және скрипттерді орындауды қосуын талап етеді, бұл оны дұрыс аутентификация backend-інен гөрі қауіптірек дизайн етеді.

Тек құпия сөзге негізделген профиль итерілген опцияларға да тәуелді, олар өз кезегінде тарту механизмінің қосылуына тәуелді.

Жоғалған сертификатты тексерулерді өшіру арқылы түзетпеңіз

Хабарлама жойылуы үшін тексеруді әлсірету азғыруы бар. Бұл өз жұмысын атқарып тұрған бақылауды алып тастайды және енді өзі айтқанын дәлелдемейтін қосылым қалдырады. Егер шлюз жақында өз түбірін ауыстырса, профильді өңдеудің орнына клиент бумасын қайта жүктеңіз, өйткені ескі бумада әлі де алдыңғы түбір болуы мүмкін. Егер профиль редакторында сертификатпен аутентификациялау опциясы жоқ болса, орнатылған Windows нұсқасы бұл әдісті көрсетпеуі мүмкін; XML-ді қолмен өңдеудің орнына жүйені жаңартыңыз.

Сертификат қай қоймада болғанын, қай пайдаланушы клиентті іске қосқанын және жеке кілттің бар-жоғын жазып алыңыз. Осы үшеуі бұл сәтсіздіктің барлық дерлік жағдайын түсіндіреді.

Құпия сөз дұрыс еді. Әдіске шын мәнінде қажет дерек басқа жерде еді.