D’Zertifikat ass a Windows ze gesinn, awer OpenVPN kann de Schlëssel dovun net benotzen

D’Zertifikat ass am Windows-Zertifikatskuck ze gesinn, an de Client kann et trotzdem net benotzen. En Zertifikat ze gesinn beweist just, datt et en ëffentlecht Objet an engem Späicher gëtt. Et beweist net, datt de Verbindungsprozess de passenden private Schlëssel fënnt oder datt hien en dowéinst benotze kann.

Dräi Objeten mussen openeen passen. Den ausgewielte Zertifikat, de private Schlëssel dohannert an de Kont, ënner deem de Client leeft, sinn ënnerschiddlech Saachen, an all eenzel kann eleng feelen.

Dräi Objeten, dräi Äntwerten

D’Gemeinschaftsversioun vun OpenVPN ënner Windows dokumentéiert en CryptoAPI-Späicher-Auswieler, cryptoapicert, deen en Daumofdrock hëlt. De Wäert muss de Zertifikat bezeechnen, deen dir wierklech wëllt benotzen, an net en aneren mat engem ähnlechen Numm. Aner OpenVPN-baséiert Uwendungen kënnen en ganz aneren Importmodell hunn, dofir ass den Auswieler just e Beweis fir de Build, deen e dokumentéiert. Bestätegt, datt äre Client dee Mechanismus ëmsetzt, ier dir eppes méi wäit ënnen debuggte.

Wann de Build den Auswieler net ënnerstëtzt, ass d’Léisung en anert Profilformaat, net en aneren Zertifikat.

Féiert den Auswieler op déi richteg Identitéit

En ëffentlechen Zertifikat kann ouni säi private Schlëssel importéiert ginn. De Kuck weist hien a béide Fäll, an dofir gesäit dëse Feeler aus, wéi wann de Client en Zertifikat ignoréiert, dee kloer do ass. Kontrolléiert d’Schlësselverknëppung, net just d’Präsenz vum Agang.

En erneierte Zertifikat bäisetzt eng zweet Fal. Béid Agäng kënnen am Späicher bleiwen, während de Profil nach den eelere Daumofdrock nennt, an de Client wielt weider déi Identitéit, déi dir wëllt ofsetzen.

Kontrolléiert op wéi eng Identitéit den Auswieler féiert, ier dir d’Berechtegungen ukuckt. En falschen Daumofdrock feelt op déiselwecht Aart wéi e fehlende Schlëssel.

Kann dëse Kont de Schlëssel benotzen

De Schlësselzougang ass pro Kont. Eng Servicer, eng geplangte Aufgab an eng interaktiv Desktop-Sessioun kënnen ënnerschiddlech Vueën op de Späicher an ënnerschiddlech Berechtegungen hunn, e private Schlëssel ze benotzen. Datt den Zertifikat an ärer eegener Sessioun ze gesinn ass, seet näischt iwwer de Servicekont.

En hardwaregestäipte Schlëssel brauch vläicht säi Fournisseur an eng Bestätegung. Eng Servicer, déi keng Ufro ka weisen, gëtt net gerett, andeems de Schlëssel an eng normal Datei exportéiert gëtt.

Liest de lokale Feeler, ier dir eppes ännert. En Auswëhlfeeler, en Ënnerschrëftfeeler an eng Oflehnung vum Server sinn dräi ënnerschiddlech Resultater. Nëmmen déi éischt zwee si lokal. Dat drëtt heescht, de Schlëssel huet funktionéiert an de Server huet géint den Zertifikat decidéiert.

Lokale Gebrauch ass keng Akzeptanz vum Server

Lokale Succès ass keng Autorisatioun. Nodeems de Client mat sengem Schlëssel ënnerschriwwen huet, bewäert de Server nach den Aussteller, d’Gëltegkeetsfenster, d’Roll an seng Zougangspolitik. En aneren Zertifikat vun der selwechter CA dréit net automatesch déiselwecht VPN-Rechter.

De Server brauch d’Vertrauenskette, net eng Kopie vum private Schlëssel vum Client. De Schlëssel op de Server schécken ass ni d’Reparatur vun engem Verifikatiounsproblem.

Schafft de Feeler an der Rei of

Hält den exakten Feelertext. E fehlend Schlësselrecht soll net zu enger CA-Ännerung ginn, an eng Oflehnung vum Server soll net zu enger Späicherreparatur ginn. Jiddwereen huet seng eege Beweiser.

Schafft an der Rei, wéi de Feeler erschéngt: Auswieler, Schlëssel, Kont, duerno Serverpolitik. D’Gemeinschafts-Clientreferenz dokumentéiert de Windows-Späicher-Auswieler fir d’Versioun, déi dir lafe léisst.