AWS Client VPN: сервер сертификаты жана кардар сертификатынын ролу
Акыркы чекиттин сервер сертификаты кызматты далилдейт. Өз ара аутентификация ар бир кардардын инсандыгын жана CA ишеничин сервер ачкычын бөлүшпөстөн кошот.
Client VPN акыркы чекитине дайыма TLS сервер сертификаты керек. Бул башкарылуучу акыркы чекиттин кардар туташканда көрсөткөн инсандыгы. Бул өз ара аутентификацияда жеке кардарлар көрсөткөн сертификаттардан башка объект. Ушул экөөнү алмаштыру — башка жагынан туура ACM конфигурациясынын биринчи эле туташууда ишке ашпай калышынын эң кеңири таралган себеби.
Төмөндө консолдон сыртка карай, туташуу чындап өткөн тартипте сереп берилген.
Эки роль, бир акыркы чекит
Акыркы чекиттин сервер инсандыгы жана кааласа, кардарлардын инсандыгын текшерүү ыкмасы бар. Булар өзүнчө конфигурацияланат. Бирөө кардар кызматка ишене алабы деп чечет; экинчиси кызмат кардарды кабыл алабы деп чечет.
| Material | Purpose | Where it lives |
|---|---|---|
| Server certificate and private key | The managed endpoint proves its TLS identity | ACM, in the endpoint's Region |
| Client certificate and matching key | An individual client proves its identity | On the device |
| CA trust material | The verifier checks the issuer chain | Selected for the client role |
Таблицаны бир сертификат эмес, үч көз карандысыз талап катары окуңуз. Сервер сертификаты жана анын жеке ачкычы кызматта калат. Кардар сертификаты жана ага тиешелүү жеке ачкыч түзмөктө болот. CA материалы — текшерүүчү чынжырды текшерүү үчүн колдонгон нерсе. Ноутбукта дайыма тек ортоңку сап гана болот.
ACM сервер сертификаты эмне кылат
Акыркы чекитти түзгөндө сервер сертификаты ACM ичинде акыркы чекит менен бир аймакта жеткиликтүү болуу керек. Консоль ARN сурайт, ал ARN ошол жерде чечилиши керек. ACM доменди текшерүү менен берилген сертификатты же ачкычы жана чынжыры менен кошо импорттолгон сертификатты сактай алат. Экөө тең бул ролдо иштейт; алар жаңырту жана жеке ачкыч кимде экени боюнча айырмаланат.
Сертификатты ким жаңырта аларына жараша берүү жолун тандаңыз, туура көрүнгөн файл чыгарган жолду эмес.
Өз ара аутентификация эмне кошот
Сертификатка негизделген кардар аутентификациясын тандоо экинчи суроону кошот: кайсы кардарларга жалпы туташууга уруксат. Ар бир кардар өз сертификатын көрсөтүп, тиешелүү жеке ачкычка ээ екенин далилдейт. Так бөлүнгөн инсандыктар кийин тандамал кайтарып алууга мүмкүндүк берет. Бир кардар ачкычын бардык түзмөккө көчүрүү бул касиетти тынч таштайт, сервер сертификаты кемчиликсиз алынган күндө да.
Акыркы чекиттин аутентификация ыкмасы — тандоо, жалпы талап эмес.
Active Directory жана федеративдик аутентификация ошол эле суроого башка каражаттар менен жооп берет. Өз ара сертификат рецепти бул жайгаштыруулар үчүн автоматтык түрдө кирүү дизайны боло бербейт, ал сервердин TLS текшерүүсү колдонуучунун кантип киргизилгенине карабастан күчүндө калат.
Эмне үчүн ошол эле CA ARN ачкыч бөлүшүү эмес
AWS, сервер жана кардар сертификаттары бир CA тарабынан берилсе, сервер сертификатынын ARN'ин кардар сертификатын тандоо үчүн да колдонсо болорун документтештирет. Ал сүйлөм акыркы чекит текшерүүдө кайсы чынжырга ишенери тууралуу. Ал кардарларга сервердин жеке ачкычын колдонуун айтпайт. Ноутбукка дагы эле өзүнүн кардар сертификаты жана өзүнүн тиешелүү ачкычы керек.
Кардардын CA'сы башка берүүчү болгондо, документтелген жол — ал CA'ны ACM'ге импорттоп, аны кардар ролуна тандоо.
Бузулууну баскычка кайтарыңыз
Бир нерсени алмаштыруудан мурун кайсы баскычтын иштебегенин аныктаңыз. Кардар акыркы чекитти четке какса, шектүү — сервер аркы ARN же анын чынжыры. Акыркы чекит кардарды четке какса, кардар сертификатын, анын берүүчүсүн жана тандалган аутентификация ыкмасын караңыз. Туннель көтөрүлүп, трафик дагы эле иштебесе, сертификаттардан буга чейин өттүңүз.
Бир убактта бир объектини алмаштырыңыз, анткени эки учун бирге алмаштыру сиз баштаган белгисиздикти кайра жаратат.
Ошондой эле белгилүү роль үчүн кызматтын колдогон ачкыч алгоритмдерин жана талап кылынган кеңейтүүлөрүн текшериңиз. Жалпы сайтты канааттандырган сертификат Client VPN'дин бардык инсандык талаптары аткарылганын далилдебейт.
Ар бир талаада кайсы ARN бар экенин, кардар сертификатын кайсы CA бергенин жана акыркы чекит чындап кайсы аутентификация ыкмасын колдонгонун жазыңыз. Үч сап жазуу кийинки жаңыртуну иликтөө эмес, тапшырмага айландырат.