E korrekt VPN-Passwuert kann en fehlend Zertifikat net ersetzen

D'Authentifikatiounsdate sinn richteg, de Profil gëtt propper importéiert, an d'Verbindung schläit trotzdem fehl, ier d'Authentifizéierung fäerdeg ass. Ënner Windows kann d'Noriicht de Feeler 798 sinn, iwwer en Zertifikat, deen net fir d'EAP-Method fonnt gouf. Op OpenVPN weist de Client-Log en TLS-Handshake, dee de Server ni zefriddenstellt. Béid beschreiwen dat selwecht fehlend Objet: en Client-Zertifikat, deen de Client misst presentéiert hunn.

E Passwuert beweist d'Kenntnis vun engem Geheimnis; en Zertifikat beweist de Besëtz vun engem Schlëssel, an dat engt ersetzt dat anert net.

D'Passwuert war ni d'Problem

Feeler 798 ass en Zertifikatssich-Feeler. Dem Client gouf en Zertifikat gefrot, deen zur konfiguréierter Authentifizéierungsmethod passt, en huet säi Späicher duerchsicht an näischt Brauchbares fonnt. Dat kann heeschen, datt den Zertifikat feelt, ouni säi private Schlëssel do ass, ofgelaf ass oder do gespäichert ass, wou d'Sich net hi kënnt. D'Passwuert nach eng Kéier ze probéieren kann keng vun dëse Konditioune changéieren, dofir kënnt de Feeler och mat korrekten Date zréck.

Liest d'Noriicht, ier Dir drop reagéiert. Eng Oflehnung vun den Date, en Zertifikatssich-Feeler an en TLS-Handshake-Feeler sinn dräi verschidde Feststellungen, an nëmmen eng dovun huet mat dem Passwuert ze dinn.

Wat de Client-Späicher misst enthalen

Zwee Objete sinn involvéiert. Den Client-Zertifikat misst fir de Benotzer installéiert sinn, deen de VPN-Client bedreift, zesumme mat sengem private Schlëssel, an d'Ausstellungsroot misst vertraut sinn. Eng .cer-Datei enthält nëmmen den ëffentlechen Zertifikat, also kann se eleng näischt authentifizéieren. Am Windows-Zertifikatsmanager gehéiert d'Client-Identitéit an de perséinleche Späicher vum aktuellen Benotzer, an d'Root an de Späicher vun den vertraute Wuerzelen.

D'Identitéit an de Maschinnespäicher oder nëmmen an de Rootspäicher z'installéieren erfëllt keng Sich, déi op de perséinleche Späicher vum Benotzer geriicht ass. Iwwerpréift de Späicher, de Flag vum private Schlëssel an d'Gültegkeetsdatumen zesummen, a start de Client duerno nei, sou datt en de Späicher nach eng Kéier liest.

Zwee Produkter, déiselwecht fehlend Date

OpenVPN-Servere verlaangen standardméisseg en Client-Zertifikat. auth-user-pass bäim Client dobäisetzen schéckt e Benotzernumm a Passwuert, an den TLS-Handshake freet nach ëmmer en Zertifikat, also kann e Passwuert eleng d'Verbindung ënner verify-client-cert require net fäerdeg maachen. De Server kann agesat ginn, näischt ze verlaangen, wat d'Passwuert zum eenzegen Client-Date mécht an eng richteg Schwächung ass. E Shell-Skript hannert auth-user-pass-verify kann d'Date validéieren, an et verlaangt, datt d'Skriptausféierung ageschalt ass, wat et zu engem riskantere Konzept mécht wéi e richtege Authentifizéierungs-Backend.

E Profil, deen nëmmen op e Passwuert setzt, hänkt och vu gedréckten Optiounen of, déi erëm dovun ofhänken, datt de Pull-Mechanismus ageschalt ass.

Flickt en fehlend Zertifikat net duerch d'Ausschalte vun de Kontrollen

D'Versuchung ass, d'Verifikatioun ze luesen, sou datt d'Noriicht verschwënnt. Dat hëlt d'Kontroll ewech, déi hir Aarbecht gemaach huet, a léisst eng Verbindung zréck, déi net méi beweist, wat se behaapt. Wann de Gateway viru kuerzem seng Root geännert huet, luet de Client-Paket nach eng Kéier erof, amplaz de Profil z'änneren, well den ale Paket nach déi fréier Root droe kann. Wann d'Optioun fir d'Zertifikatsauthentifizéierung am Profil-Editor feelt, weist déi installéiert Windows-Versioun déi Method vläicht net; aktualiséiert de System, amplaz XML vun Hand z'änneren.

Notéiert, wéi en Späicher den Zertifikat hat, wéi e Benotzer de Client bedriwwen huet a wéi de private Schlëssel do war. Déi dräi erklären bal all Fall vun dësem Feeler.

D'Passwuert war gutt. Den Date, deen d'Method wierklech gebraucht huet, war soss anzwousch.