OpenVPN ouni Client-Zertifikat: Serverpolitik, net Profil

Dir läscht d'Zertifikat- an Schlëssellinnen, iwwergitt de Profil, an d'Verbindung schléit nach ëmmer mat engem Zertifikatsfehler fehl. De Profil war ni dat, wat dës Ufuerderung duerchgesat huet. De Server entscheet, ob en Client-Zertifikat obligatoresch ass, an keng Ännerung op der Clientsäit handelt dat ewech. Dofir ass d'Korrektur eng Ännerung vun der Serverpolitik, bewosst gemaach, mat allem wat dovun ofhänkt an der selwechter Pass aktualiséiert.

De Profil ass net d'Politik

Community OpenVPN 2.6 kënnt mat obligatoreschen Client-Zertifikater, well verify-client-cert standardméisseg require ass. Et op none ze setzen ass dat, wat d'Fuerderung no engem Zertifikat stoppt an d'Client-Authentifizéierung un déi Benotzernumm-a-Passwuert-Reegel iwwergëtt, déi de Server schonn ënnerhält. Méi al Guidë gräifen op client-cert-not-required, déi eeler Schreifweis vun der selwechter Iddi, also benotzt d'Direktiv, déi Är installéiert Versioun dokumentéiert. Egal wéi, d'Ännerung geschitt um Server, an keen Client-Profil kann se duerchféieren.

De Fragment hei drënner ass déi komplett Ännerung op der Serversäit, an eleng ass et keng funktionéierend Authentifizéierungskonfiguratioun. verify-client-cert none hëlt d'Zertifikatsufuerderung ewech, wärend username-as-common-name den Kontonumm zu der Identitéit mécht, déi spéider Callbacks a Fichieren pro Client gesinn. Keng vun den zwou Linne préift e Passwuert, also muss nach ëmmer e Verifizéierer existéieren.

verify-client-cert none
username-as-common-name

Dee Verifizéierer ass e Plugin oder e Skript, deen auth-user-pass-verify steuert, an et muss op der Plaz sinn ier eng vun den uewe genannten Linne eppes bedeit. D'Uerdnung ëmdréien gëtt Iech eng Fënster, an där de Server kee Zertifikat freet a kee Kont préift.

Wat de Server nach ëmmer verifizéiert

D'Client-Zertifikat ewechloossen heescht net TLS ewechloossen. De Server behält säin Zertifikat a säi Schlëssel, an de Client behält d'CA-Vertrauen an d'Hostnummprüfungen, déi en dovun ofhale mam enger Fälschung ze schwätzen. remote-cert-tls server oder de CA-Bündel ewechhuelen, well de Client kee Zertifikat méi huet, ass eng heefeg a seriö falsch Liesung, an d'2.6-Referenz ass kloer, datt déi zwou Richtungen onofhängeg sinn. Déi eng beweist de Server dem Client; déi aner beweist de Client dem Server.

E Profil kann och en tls-auth- oder tls-crypt-Block droen. Dat ass e gedeelte Schlëssel vum Kontrollkanal mat sengem eegenen Distributiouns- a Rotatiounszyklus, also ass eng Fichier ouni Zertifikat- oder Schlëssellinnen net automatesch sécher ze publizéieren. Behandelt se als Geheimnis bis Dir se gelies hutt.

Eng Zertifikatsfichier, déi aus engem funktionéierende Profil kopéiert gouf, beweist eleng näischt; Besëtz heescht de passende private Schlëssel ze halen, wat eng zertifikatsauthentifizéiert Deployement préift. Eng Fichier, déi en Zertifikat enthält, ass keng Fichier, mat där ee sech authentifizéiere kann.

Wat de Verifizéierer muss maachen

Wann d'Zertifikatsufuerderung ewech ass, rascht alles um Verifizéierer: e Plugin oder e Skript, deen auth-user-pass-verify steuert. En muss ongëlteg Umeldungsdaten ofweisen, desaktivéiert oder net uerdentlech Konten ofweisen, a sech zouen ofbriechen, wann en säi Backend net erreecht. username-as-common-name gëtt dacks niewent aktivéiert, an et ännert d'Identitéit, déi spéider Callbacks a Konfiguratiounsfichiere pro Client gesinn. Et verifizéiert kee Passwuert an et mécht en net uerdentlecht Konto net uerdentlech. Dat sinn getrennt Aufgabe, an se ze verwiesselen ass de Wee, wéi eng Migratioun hir Glückspad-Test besteet an an hirem éischte richtege Virfall versoe geet.

Test d'negativ Fäll esou suergfälteg wéi de positiven. E Profil, deen eng Passwuertufro weist, beweist just datt de Client eng Ufro zeechnen kann, wärend e Server, deen dat falscht Passwuert akzeptéiert, eppes vill Schlëmmers beweist. Füügt en desaktivéierte Konto an en ofgelafene Umeldungsdatensaz zum Testset derbäi, net just e schlecht Passwuert.

Ännert Politik, Profil a Mapping zesummen

Koordinéiert dräi Saachen: d'Serverdirektiv, de Client-Profil an d'Identitéitsmapping pro Client. Ännert se eenzel a Clienten versoe virun der Verifikatioun, oder verbannen sech ënner engem Numm, deen den Administrateur net erwaart huet, wat méi schlëmm ass, well et wéi en Erfolleg ausgesäit. Eng Verbindung, déi ënner der falscher Identitéit geléngt, ass schwéier ze bemierken wéi eng, déi versoe geet.

Halt zwou Testkonten fir dëse Wee, eng gëlteg an eng bekannt schlecht, a benotz béid no all Ännerung um Verifizéierer. De gëltege Konto beweist de Glückspad an d'Identitéitsmapping; dee schlechten beweist, datt d'Ofweise nach funktionéiert. Kee vun den zwou Tester seet Iech eppes iwwer d'Uerdentlechkeetsregelen, also füügt e Konto derbäi, deen aus politesche Grënn sollt ofgewisen ginn, wann d'Deployement esou Regelen huet. Fëllt all dräi no all Ännerung aus, well e Verifizéierer, deen ufänkt alles ze akzeptéieren, genee wéi eng funktionéierend Umeldung ausgesäit.

Notéiert wéi eng Authentifizéierungsmethoden de Server tatsächlech akzeptéiert, net wéi eng de Profil proposéiert. Dee Rekord beäntwert d'Fro, déi d'Leit ëmmer nach stellen, nämlech wien sech mat dësem Service verbannen kann. En iwwerlieft och den nächsten Administrateur, deen en soss aus enger Paketopnam erëm entdecke géif.