Selbstsignéierte Client-Zertifikat? Den VPN-Server refuséiert et nach ëmmer

Den Operateur schéckt eng Adress an e Benotzernumm, an de Client freet no enger CA-Datei, engem Zertifikat an engem Schlëssel. Dës dräi lokal ze generéieren fillt sech wéi deen offensichtlechen nächste Schrëtt un. Et entsteet en Zertifikat, un dat nëmmen Är eege Maschinn gleeft. D’Vertraue vum Server ass an enger CA verankert, déi Dir net kontrolléiert, dofir ass den Handshake eriwwer, ier en ufänkt.

Vertraue wunnt um Server, net an Ärem Profil

Zertifikatsauthentifikatioun ass e Verglach. De Client presentéiert en Zertifikat; de Gateway kontrolléiert, ob et vun enger vun de CAen a senger Konfiguratioun signéiert gouf.

Äre Profil nennt d’CA-Datei, déi de Client benotze soll, fir de Server ze iwwerpréiwen. En kann keng CA nennen, déi de Server benotze soll, fir Iech ze iwwerpréiwen. Déi Hallschent vun der Konfiguratioun ass net Är.

En selbst gemaachten Zertifikat feelt bei dësem Verglach, och wann en technesch perfekt ass. En huet eng gëlteg Signatur, e Sujet an Datumer, awer den Aussteller ass eng CA, vun där de Gateway nach ni héieren huet. De Feeler erschéngt wärend dem Handshake, nodeems de Server schonn en Zertifikat ugefrot huet. Näischt am Clientprofil kann d’Äntwert änneren.

Firwat e selbstsignéierte Zertifikat net kann ersetzen

E selbstsignéierte Zertifikat ass mat sengem eegene Schlëssel signéiert. D’Signatur iwwerpréift géint déiselwecht Datei, wat en an sech schlësseg an als Berechtegung fir en anere Gateway wäertlos mécht.

De Gateway freet net, ob den Zertifikat intern schlësseg ass. En freet, ob en vertrauenswierdegen Aussteller en signéiert huet.

Dofir sinn d’Fehlermeldungen verwirrend. De Client kann e Verifikatiounsfeeler mellen, deen no engem Serverproblem kléngt, während de Server en onbekannten Aussteller protokolléiert. Béid beschreiwen déiselwecht Onstëmmegkeet vun entgéigegesetzte Säiten.

Den CSR-Wee behält Äre private Schlëssel

Dir kënnt de gréissten Deel vun der Aarbecht nach lokal maachen. Generéiert e Schlësselpaar, baut eng Zertifikatssignéierungsufro ëm déi ëffentlech Hallschent a schéckt déi Ufro un den Operateur. Nëmmen d’Ufro verléisst Är Maschinn. Déi privat Hallschent bleift, wou Dir se generéiert hutt.

openssl req -new -newkey rsa:3072 -nodes -keyout client.key -out client.csr -subj "/CN=laptop-01"

Den Operateur signéiert d’Ufro mat senger CA a schéckt en Zertifikat zréck. Äre private Schlëssel ass ni gereest, an d’Resultat kettt un den Anker, deem de Gateway vertraut.

Gestiounsservicer iwwersprangen dacks den CSR an stellen de ganzen Bündel aus. Dat ass en raisonnabelen Tausch, wann deeselwechte Fournisseur den Tunnel schonn terminéiert an d’CA huet. D’Verwahrung vum Schlëssel gëtt net besser, wann Dir en behält, well de Fournisseur zu all Moment en neien ka prägen.

Bündelen ginn importéiert, net installéiert

Fournisseurbündelen mat sécherheetskléngenden Nimm sinn dacks OpenVPN-Profiler. Si enthalen Konfiguratioun an heiansdo Zertifikaten, an si installéieren näischt. Importéiert d’Datei an e Client, dee säi Protokoll schwätzt, an d’Verbindung ass konfiguréiert.

D’Behandlungsregel folgt aus dem Inhalt. Wann de Profil e private Schlëssel agebaut huet, ass et eng Berechtegung a verdéngt déiselwecht Suerg wéi e Passwuert: keng E-Mail, kee Repository, kee gedeelten Downloadordner. Wann den Operateur ca.crt, client.crt an client.key getrennt liwwert, späichert se zesumme mat restriktiven Rechter a weist de Profil op si.

Füügt d’Kontrollen derbäi, déi den Operateur iwwersprunge kéint hunn

E rouergeneréierte Profil huet heiansdo keng Peer-Verifikatioun. remote-cert-tls server verlaangt, datt den Peer-Zertifikat den Zweck Serverauthentifikatioun dréit, sou datt en Client-Zertifikat net als Server ka widdergi ginn. Déi eng Linn ass eng kleng Ännerung mat enger klorer Begrënnung.

verify-x509-name geet méi wäit, wann den Operateur deen erwaarten Sujet oder SAN ka nennen. Béid sinn kleng Ergänzunge vun engem Profil, a béid si verdeedegbar. Inspizéiert, wat Dir krut, ier Dir et importéiert.

openssl x509 -in client.crt -noout -issuer -subject -dates
openssl verify -CAfile ca.crt client.crt

Verifikatiounsastellungen sinn keng Reparatur vun enger gebrochener Kette. Wann den Aussteller falsch ass, ass d’Äntwert en Zertifikat vun der richteger CA, keen Fändel, deen d’Kontroll ausschalt. D’Verifikatioun ausschalten mécht aus engem Authentifikatiounsfeeler en onentdeckten.

Frot en eege Bündel un: den Zertifikat vun der Autoritéit als PEM, en Client-Zertifikat, deen déi Autoritéit signéiert huet, e Schlëssel, deen Dir generéiert hutt oder deen iwwer e Kanal koum, deem Dir vertraut, an de geneeë Servernumm, deen den Zertifikat presentéiere soll. Notéiert den Oflafdat am selwechte Message, well en ofgelafenen Zertifikat Méint méi spéit wéi e Netzwierkfeeler ausgesäit.