Wéi eng CA-Datei gehéiert an en OpenVPN-Profil nëmme mat Passwuert?

Gitt véier Froen der Rei no duerch, an den CA-Dialog ass net méi zweedeiteg. Wéi ee Material huet den Operateur tatsächlech ausgestallt, wat enthält de Profil schonn, wéi ee Feld freet, a wat geschitt, nodeems d'Datei gelueden ass? Hält bei der éischter Fro un, déi Dir net aus den Uweisunge vum Operateur beäntwerten kënnt, well doriwwer eraus ze roden ass just de Wee, wéi en ëffentlecht CA-Zertifikat mat engem private Schlëssel gepaart gëtt, deen den Server ni sollt verlooss hunn.

D'Reiefolleg zielt: déi lescht zwou Froen erginn nëmmen Sënn, wa Dir wësst, wéi ee Material soll existéieren.

Fänkt mat deem un, wat de Profil schonn dréit

Maacht de Profil an engem Texteditor op a sicht en ca-Block, ier Dir eng Datei sicht. En agebauten ca-Block mat dem ëffentleche CA vum Operateur heescht, datt de Profil selbststänneg ass, an e Client, deen nach eng CA-Datei freet, liest vläicht en anere Profil oder en onkompletten Import. Huet de Profil amplaz eng ca-Zeil, déi op e Wee weist, dann ass dee Wee bei eenzelen Integratiounen relativ zum Aarbechtsverzeechnis vum Client a bei aneren absolut. Notéiert, wéi eng Form Dir hutt, ier Dir eppes ännert.

ca /absolute/path/operator-ca.crt
auth-user-pass
remote-cert-tls server

Kontrolléiert de geliwerte Pak op d'Dateien, op déi de Profil verweist: en CA-Zertifikat, heiansdo en separat Clientzertifikat an e Schlëssel, a méiglecherweis eng tls-auth- oder tls-crypt-Datei. En Profil, deen op véier Dateien verweist awer mat zwou ukënnt, ass onkomplett, a keng Quantitéit u Feldweisen reparéiert dat. Frot den Operateur no dem fehlenden Deel, amplaz en Zertifikat ze ersetzen, dat Dir zufällech hutt.

Trennt véier Materialaarten

Den CA-Zertifikat ass ëffentlecht Material, dat benotzt gëtt, fir d'Identitéit vum Server ze verifizéieren. En Clientzertifikat identifizéiert de Benotzer oder d'Apparat vis-à-vis vum Server. E private Schlëssel ass déi geheim Halschent vun deem Clientzertifikat, an et däerf ni de Signaturschlëssel vum CA oder e Serverschlëssel sinn. tls-auth- oder tls-crypt-Material ass en separat gedeelt Geheimnis, dat de Kontrollkanal schützt. Dës véier sinn net austauschbar, an d'CA-Feld op en Clientzertifikat ze riichten erzeugt e Verifizéierungsfehler, dee wéi e Vertrauensproblem ausgesäit.

Authentifizéierung nëmme mat Passwuert ännert, wat vun de véier Dir braucht, net wat se bedeiten. Mat auth-user-pass an remote-cert-tls server verifizéiert de Client de Server weider géint en CA, dofir erschéngt d'CA-Feld och dann, wann et kee Clientzertifikat gëtt. D'Politik vum Operateur entscheet, ob och en Clientzertifikat gefrot ass, an keen Dialog kann Iech dat soen.

Riicht de Client op d'Vertrauensdatei

Wielt d'CA-Zertifikatsdatei selwer, net de Classeur deen se enthält an net e .p12-Pak mat enger Clientidentitéit. Ënner Windows behuelen sech d'Wee-Syntax an de Dateiwieler anescht wéi d'Linux-Beispiller an de meeschten Hännbicher, also benotzt wat den installéierte Client akzeptéiert a bestätegt, datt d'Datei fir de Kont liesbar ass, deen en ausféiert. E Berechtegungsproblem an eng fehlend Datei gesinn am Dialog gläich aus, produzéieren awer verschidde Logzeilen. Öffnet no der Auswiel d'Profilastellungen nach eng Kéier, fir ze bestätegen, datt de Client d'Auswiel behal huet.

<ca>
-----BEGIN CERTIFICATE-----
...operator-provided public CA...
-----END CERTIFICATE-----
</ca>

Wann de Client agebaut Bléck ënnerstëtzt, bevorzugt de agebaute Profil vum Operateur géint een, deen vun Hand zesummegesat gouf. Agebaut Material reest mam Profil a iwwerlieft en Neiimport, wärend en absolute Wee de Moment brécht, wou de Profil op eng aner Maschinn geet.

Liest de nächste Fehler, net deeselwechten

D'Sënn vum richtegen CA ass, de Fehler ze änneren, net e verschwannen ze loossen. E Serveridentitéitsfehler, nodeems den CA gelueden ass, heescht, datt den Zertifikat net mam erwaarten Numm oder mat der remote-cert-tls-Erwaardung iwwerenee gestëmmt huet, wat eng aner Reparatur ass wéi eng Oflehnung vum Passwuert. Eng Oflehnung vum Passwuert heescht, datt d'TLS-Schicht gelongen ass an d'Umeldungsinformatiounen falsch sinn. Behält déi éischt nei Noriicht; déi ass déi nëtzlech.

E Client, dee sech verbënnt awer néierens ukommt, huet d'Vertrauen komplett hanner sech gelooss an steet elo virun enger Routing- oder DNS-Fro.

Deaktivéiert ni d'Verifizéierung, fir duerch deen Dialog ze kommen. E Client, deen all Zertifikat akzeptéiert, huet kee Grond, no engem CA ze froen, an den Tunnel, deen en baut, ass net deen, deen den Operateur gemengt huet.