AWS Client VPN: serverio sertifikatas ir kliento sertifikato vaidmuo
Endpointo serverio sertifikatas įrodo paslaugą. Abipusis autentifikavimas prideda kiekvieno kliento tapatybes ir CA pasitikėjimą neatskleidžiant serverio rakto.
Client VPN endpointui visada reikia TLS serverio sertifikato. Tai tapatybė, kurią valdomas endpointas pateikia, kai klientas prisijungia. Tai kitas objektas nei sertifikatai, kuriuos pateikia atskiri klientai, kai naudojamas abipusis autentifikavimas. Šių dviejų sumaišymas yra dažniausia priežastis, kodėl kitaip teisinga ACM sąranka vis tiek nepavyksta per pirmąjį prisijungimą.
Štai apžvalga nuo konsolės į išorę, tokia tvarka, kokia ryšys iš tikrųjų eina.
Du vaidmenys, vienas endpointas
Endpointas turi serverio tapatybę ir, jei norima, būdą klientų tapatybėms tikrinti. Tai konfigūruojama atskirai. Vienas sprendžia, ar klientas gali pasitikėti paslauga; kitas sprendžia, ar paslauga priima klientą.
| Material | Purpose | Where it lives |
|---|---|---|
| Server certificate and private key | The managed endpoint proves its TLS identity | ACM, in the endpoint's Region |
| Client certificate and matching key | An individual client proves its identity | On the device |
| CA trust material | The verifier checks the issuer chain | Selected for the client role |
Skaitykite lentelę kaip tris nepriklausomus reikalavimus, o ne kaip vieną sertifikatą. Serverio sertifikatas ir jo privatusis raktas lieka paslaugoje. Kliento sertifikatas ir atitinkamas privatusis raktas yra įrenginyje. CA medžiaga yra tai, kuo tikrintojas tikrina grandinę. Tik vidurinė eilutė kada nors priklauso nešiojamajam kompiuteriui.
Ką daro ACM serverio sertifikatas
Kurdami endpointą, serverio sertifikatas turi būti prieinamas ACM tame pačiame regione kaip ir endpointas. Konsolė prašo ARN, ir tas ARN turi būti ten išsprendžiamas. ACM gali saugoti sertifikatą, kurį suteikėte su domeno patvirtinimu, arba tą, kurį importavote kartu su raktu ir grandine. Abu tinka šiam vaidmeniui; jie skiriasi atnaujinimu ir tuo, kas turi privatųjį raktą.
Rinkitės tiekimo kelią pagal tai, kas gali atnaujinti sertifikatą, o ne pagal tai, kuris atsitiktinai sukūrė tinkamai atrodantį failą.
Ką prideda abipusis autentifikavimas
Pasirinkus sertifikatu pagrįstą kliento autentifikavimą, pridedamas antras klausimas: kurie klientai apskritai gali prisijungti. Kiekvienas klientas pateikia savo sertifikatą ir įrodo turįs atitinkamą privatųjį raktą. Būtent atskiros tapatybės vėliau leidžia selektyviai atšaukti. Vieno kliento rakto kopijavimas į kiekvieną įrenginį tyliai atsisako šios savybės, net kai serverio sertifikatas įgytas nepriekaištingai.
Endpointo autentifikavimo metodas yra pasirinkimas, o ne visuotinis reikalavimas.
Active Directory ir federuotas autentifikavimas atsako į tą patį klausimą kitomis priemonėmis. Abipusio sertifikato receptas nėra automatiškai tų diegimų prisijungimo dizainas, o serverio TLS tikrinimas lieka galioti nepriklausomai nuo to, kaip vartotojas įleidžiamas.
Kodėl tas pats CA ARN nėra raktų dalijimasis
AWS dokumentuoja, kad kai serverio ir kliento sertifikatus išduoda ta pati CA, serverio sertifikato ARN taip pat gali būti naudojamas kliento sertifikatui pasirinkti. Tas sakinys apie tai, kuria grandine endpointas pasitiki tikrindamas. Jis nurodo klientams nenaudoti serverio privataus rakto. Nešiojamajam kompiuteriui vis dar reikia savo kliento sertifikato ir savo atitinkamo rakto.
Kai kliento CA yra kitas išdavėjas, dokumentuotas kelias yra importuoti tą CA į ACM ir pasirinkti jį kliento vaidmeniui.
Sekite gedimą atgal iki etapo
Prieš ką nors keisdami, nustatykite, kuris etapas nepavyksta. Jei klientas atmeta endpointą, įtartinas serverio ARN arba jo grandinė. Jei endpointas atmeta klientą, pažiūrėkite į kliento sertifikatą, jo išdavėją ir pasirinktą autentifikavimo metodą. Jei tunelis pakyla, o srautas vis tiek nepavyksta, jau esate už sertifikatų.
Keiskite po vieną objektą, nes abiejų galų keitimas vienu metu atkuria neapibrėžtumą, su kuriuo pradėjote.
Taip pat patikrinkite palaikomus raktų algoritmus ir reikalingus paslaugos plėtinius konkrečiam vaidmeniui. Sertifikatas, kuris tenkina viešą svetainę, nėra įrodymas, kad įvykdyti visi Client VPN tapatybės reikalavimai.
Užsirašykite, kurį ARN laiko kiekvienas laukas, kuri CA išdavė kliento sertifikatą ir kurį autentifikavimo metodą endpointas iš tikrųjų naudoja. Trys įrašo eilutės paverčia kitą atnaujinimą užduotimi, o ne tyrimu.