AWS Client VPN: Serverzertifikat géint d'Roll vum Clientzertifikat
D'Serverzertifikat vum Endpunkt beweist den Service. Géigesäiteg Authentifikatioun füügt Identitéite pro Client a CA-Vertrauen dobäi, ouni de Schlëssel vum Server ze deelen.
En Client VPN-Endpunkt brauch ëmmer en TLS-Serverzertifikat. Dat ass d'Identitéit, déi den geréierten Endpunkt presentéiert, wann e Client sech verbënnt. Et ass en aneren Objet wéi d'Zertifikater, déi eenzel Clienten presentéieren, wann géigesäiteg Authentifikatioun benotzt gëtt. Dës zwee ze verwiesselen ass de heefegste Grond, firwat eng soss korrekt ACM-Ariichtung nach ëmmer bei der éischter Verbindung feelt.
Hei ass en Duerchgang vun der Konsole no baussen, an der Rei, wéi eng Verbindung tatsächlech duerchleeft.
Zwou Rollen, een Endpunkt
Den Endpunkt huet eng Serveridentitéit an, optional, e Wee fir Clientidentitéiten ze verifizéieren. Déi ginn getrennt konfiguréiert. Eng entscheet, ob de Client dem Service vertraue kann; déi aner entscheet, ob de Service de Client akzeptéiert.
| Material | Purpose | Where it lives |
|---|---|---|
| Server certificate and private key | The managed endpoint proves its TLS identity | ACM, in the endpoint's Region |
| Client certificate and matching key | An individual client proves its identity | On the device |
| CA trust material | The verifier checks the issuer chain | Selected for the client role |
Liest d'Tabelle als dräi onofhängeg Ufuerderungen amplaz als een Zertifikat. D'Serverzertifikat an säi privaten Schlëssel bleiwen beim Service. E Clientzertifikat an de passenden private Schlëssel liewen um Apparat. D'CA-Material ass dat, wat e Verifizéierer benotzt, fir d'Kette ze kontrolléieren. Nëmmen déi mëttelst Zeil gehéiert iergendwann op e Laptop.
Wat d'ACM-Serverzertifikat mécht
Wann Dir den Endpunkt erstellt, muss d'Serverzertifikat an ACM an der selwechter Regioun wéi den Endpunkt disponibel sinn. D'Konsole freet no enger ARN, an déi ARN muss do opgeléist ginn. ACM kann en Zertifikat halen, dat Dir mat Domainvalidéierung bereetgestallt hutt, oder engem, dat Dir zesumme mat sengem Schlëssel a senger Kette importéiert hutt. Béid funktionéieren an dëser Roll; si ënnerscheede sech bei der Erneierung an doran, wien de private Schlëssel huet.
Wielt dee Bereetstellungswee, dee passt, wien d'Zertifikat erneiere kann, net dee, deen zoufälleg eng valabel ausgesinn Datei produzéiert huet.
Wat géigesäiteg Authentifikatioun dobäi füügt
D'Auswiel vun zertifikatsbaséierter Clientauthentifikatioun füügt eng zweet Fro dobäi: wéi eng Clienten iwwerhaapt dierfen sech verbannen. All Client presentéiert säin eegent Zertifikat a beweist de Besëtz vum passenden private Schlëssel. Getrennt Identitéite sinn dat, wat eng selektiv Widderruffung méi spéit méiglech mécht. Een Clientschlëssel op all Apparat ze kopéieren verwërft dës Eegenschaft roueg, och wann d'Serverzertifikat perfekt kritt gouf.
D'Authentifikatiounsmethod vum Endpunkt ass eng Wiel, keng universell Ufuerderung.
Active Directory a federéiert Authentifikatioun beäntweren déi selwecht Fro op aner Weeër. E Rezept mat géigesäitegen Zertifikater ass net automatesch den Umeldungsdesign fir déi Asätz, an d'TLS-Verifikatioun vum Server bleift bestoen, egal wéi de Benotzer eragelooss gëtt.
Firwat déi selwecht CA-ARN keng Schlësseldeelung ass
AWS dokumentéiert, datt wann d'Server- an d'Clientzertifikat vun der selwechter CA ausgestallt goufen, d'ARN vum Serverzertifikat och fir d'Auswiel vum Clientzertifikat benotzt ka ginn. Dee Saz geet dorëm, wéi enger Kette den Endpunkt bei der Verifikatioun vertraut. Hie seet de Clienten net, de private Schlëssel vum Server ze benotzen. E Laptop brauch nach ëmmer säin eegent Clientzertifikat a säin eegene passende Schlëssel.
Wann d'CA vum Client en aneren Aussteller ass, ass dee dokumentéierte Wee, déi CA an ACM ze importéieren an se fir d'Clientroll auszewielen.
Féiert de Feeler op eng Etapp zréck
Bestëmmt, wéi eng Etapp feelt, ier Dir eppes ersetzt. Wann de Client den Endpunkt refuséiert, ass d'ARN vum Server oder seng Kette verdächteg. Wann den Endpunkt de Client refuséiert, kuckt op d'Clientzertifikat, säin Aussteller an déi gewielten Authentifikatiounsmethod. Wann den Tunnel eropkënnt an den Trafick nach ëmmer feelt, sidd Dir iwwer d'Zertifikater eraus.
Ersetzt een Objet op eng Kéier, well béid Enner gläichzäiteg ze tauschen déi Ambiguitéit reproduzéiert, mat där Dir ugefaang hutt.
Kontrolléiert och déi ënnerstëtzt Schlësselalgorithme vum Service an déi néideg Extensiounen fir déi spezifesch Roll. En Zertifikat, dat enger ëffentlecher Websäit genüügt, ass keen Beweis, datt all Client VPN-Identitéitsufuerderungen erfëllt sinn.
Schreift op, wéi eng ARN all Feld hält, wéi eng CA d'Clientzertifikat ausgestallt huet a wéi eng Authentifikatiounsmethod den Endpunkt tatsächlech benotzt. Dräi Zeile vun Opzeechnung maachen déi nächst Erneierung zu enger Aufgab amplaz enger Enquête.