Firwat cryptoapicert an OpenVPN 3 an a Connect op Windows feelt

Dir kopéiert en funktionéierende OpenVPN 2-Profil an en neien Windows-Client, an d’Zertifikat, dat den ale Client selwer fonnt huet, gëtt net méi ugebueden. D’Linn, déi dat méiglech gemaach huet, ass en Windows-spezifische Selekter, deen zum Community 2-Client gehéiert, an déi nei Applikatioun ass en anert Programm mat engem anere Wee fir Umeldungsinformatiounen. De Profil ass onverännert ausser dëser eenzer Linn, an dat ass genee, wat den Ënnerscheed schwéier ze gesinn mécht.

An deem Bericht gi dräi Schichten duercherneen geworf: de Community-Client, d’Kärbibliothéik an de Frontend, dee jemand installéiert huet. Nëmmen een vun hinnen huet d’Direktiv jeemools verstanen.

Wat d’Optioun bedeit, wou se existéiert

Am Community OpenVPN 2-Client op Windows bezeechent cryptoapicert en Zertifikat, dat de Client am Windows-Zertifikatsspäicher an net an enger Datei soll fannen. Et ass eng Windows-spezifesch Komfortfunktioun, a se funktionéiert, well dee Client weess, wéi en de Späicher oplëscht an de resultéierende Schlëssel un säin eegene TLS-Stack gëtt. D’Direktiv ass dofir Deel vun der Konfiguratiounssprooch vun deem Client, net eng Eegenschaft vum OpenVPN-Protokoll. Näischt am Iwwerdroungsformat dréisst se.

Kopéiert déi selwecht Linn an eng aner Applikatioun an Dir hutt e Wuert kopéiert, dat dat neit Programm eventuell analyséiert, ignoréiert oder refuséiert. Eng Direktiv ass keng Protokollseegenschaft, an dës ass net emol eng Eegenschaft vun all Client, deen OpenVPN.

Wat d’Kärbibliothéik amplaz ubitt

OpenVPN 3 Core ass eng Bibliothéik, déi aner Applikatioune bäifügen, an se behandelt extern Umeldungsinformatiounen iwwer eng API an net iwwer eng Späicher Sich. D’Applikatioun, déi se bäifügt, liwwert eng Zertifikatskette a freet d’Bibliothéik méi spéit, mat engem externe Schlëssel ze signéieren, an d’Bibliothéik rifft dofir an d’Applikatioun zréck. Dat ass en allgemengere Design, an et bedeit, datt de Frontend entscheet, wéi eng Ubidder et gëtt. An der Bibliothéik hirer eegener Optiounsbehandlung erschéngt cryptoapicert ënner den Direktiven, déi net ëmgesat sinn, wat mat där Verdeelung vun der Verantwortung iwwereneestëmmt.

D’Existenz vun dëse Callbacks bedeit net, datt eng bestëmmte gepaakte Applikatioun de perséinleche Späicher vum aktuelle Benotzer oplëscht, e bestëmmten Schlësselubidder ënnerstëtzt oder eng Smartcard-Ufro ofschléisse kann. Dat sinn Eegenschafte vum Frontend, an all eenzel muss vum Frontend dokumentéiert ginn.

Wat de Windows-Frontend amplaz mécht

OpenVPN Connect geet en anere Wee: den Operateur importéiert eng PKCS#12-Datei déi d’Zertifikat an säi private Schlëssel enthält, an en OpenVPN Certificate Store, deen dofir ugeluecht gouf, an deelt duerno dat extern Zertifikat dem Profil zou. Dat ass en bewosste Importschrëtt, keng automatesch Entdeckung vun deem, wat am perséinleche Späicher läit. Den Ënnerscheed ass wichteg, wann een unhëlt, datt en Zertifikat, dat fir en aneren Zweck installéiert gouf, einfach an der Lëscht vum Client erschéngt.

Den Import huet och eng Konsequenz fir d’Schlësselpolitik, well e Schlëssel an eng P12-Datei z’exportéieren genee dat ass, wat en net-exportierbare Schlëssel verhënnere soll. Dat ass eng Fro vun der Politik an net vun der Konfiguratioun, an se verdéngt eng Äntwert, ier iergendeen den Import versicht.

Wielt e Wee, deen zur Politik vum Schlëssel passt

Wann d’Umeldungsinformatioun exportierbar ass an d’Politik den dokumentéierten Import erlaabt, benotzt de geschützte Registréierungsprozess vun der Organisatioun a haalt déi temporär P12 an hire Passwuert aus de Logbicher an de Skripten eraus. Wann de Schlëssel ni eng Smartcard oder en geschützten Ubidder verloosse soll, wielt eng Kombinatioun aus Client an Ubidder, déi dës Ufuerderung ausdrécklech ënnerstëtzt, oder kritt eng Bestätegung vum Fournisseur fir d’Versioun, déi Dir installéiert hutt. Keen vun den zwee Branchen ass en Ersatz fir deen aneren.

D’Direktiv erëm an de Profil ze setzen kann keng Integratioun liwweren, déi d’Applikatioun net huet. Och eng méi nei Clientversioun setzt se net onbedéngt derbäi, well d’Fäegkeet zum eegene Design vum Frontend gehéiert.

Wann de lokale Schlëssel funktionéiert, préift de Server nach ëmmer d’Identitéit vum Zertifikat, d’Kette an d’Autorisatioun. E lokale Schlëssel, deen notzbar ass, an eng akzeptéiert VPN-Identitéit si getrennt Resultater, an se getrennt ze halen ass dat, wat verhënnert, datt eng Limitatioun vum Frontend zu enger geschwächter Zertifikatspolitik gëtt.