Kuris CA failas priklauso tik su slaptažodžiu veikiančiam OpenVPN profiliui?

Pereikite keturis klausimus iš eilės ir CA dialogas nustos būti dviprasmis. Kokią medžiagą operatorius iš tikrųjų išdavė, ką profilis jau turi, kuris laukas klausia ir kas nutinka įkėlus failą? Sustokite ties pirmuoju klausimu, į kurį negalite atsakyti pagal paties operatoriaus nurodymus, nes spėlioti toliau yra būtent tas kelias, kuriuo viešas CA sertifikatas atsiduria poroje su privačiu raktu, kuris niekada neturėjo palikti serverio.

Tvarka svarbi: paskutiniai du klausimai turi prasmę tik tada, kai žinote, kokia medžiaga turėtų egzistuoti.

Pradėkite nuo to, ką profilis jau turi

Atidarykite profilį teksto rengyklėje ir prieš ieškodami failo ieškokite ca bloko. Operatoriaus viešą CA turintis įterptas ca blokas reiškia, kad profilis yra savarankiškas, o klientas, kuris vis dar prašo CA failo, galbūt skaito kitą profilį arba nepilną importą. Jei profilyje vietoj to yra į kelią nurodanti ca eilutė, tas kelias kai kuriose integracijose yra santykinis kliento darbo katalogui, o kitose absoliutus. Užsirašykite, kurią formą turite, prieš ką nors keisdami.

ca /absolute/path/operator-ca.crt
auth-user-pass
remote-cert-tls server

Patikrinkite pateiktą paketą failų, į kuriuos profilis nurodo: CA sertifikatas, kartais atskiras kliento sertifikatas ir raktas, ir galbūt tls-auth arba tls-crypt failas. Profilis, kuris nurodo keturis failus, bet ateina su dviem, yra nepilnas, ir joks laukų rodymas to nepataiso. Paprašykite operatoriaus trūkstamos dalies, o ne pakeiskite ją sertifikatu, kurį atsitiktinai turite.

Atskirkite keturias medžiagos rūšis

CA sertifikatas yra vieša medžiaga, naudojama serverio tapatybei tikrinti. Kliento sertifikatas identifikuoja naudotoją arba įrenginį serveriui. Privatus raktas yra slaptoji to kliento sertifikato pusė, ir jis niekada neturi būti CA pasirašymo raktas ar serverio raktas. tls-auth arba tls-crypt medžiaga yra atskira bendra paslaptis, sauganti valdymo kanalą. Šie keturi nėra keičiami, o CA lauko nukreipimas į kliento sertifikatą sukelia tikrinimo klaidą, kuri atrodo kaip pasitikėjimo problema.

Tik slaptažodžiu pagrįstas autentifikavimas keičia, kurio iš keturių jums reikia, o ne ką jie reiškia. Su auth-user-pass ir remote-cert-tls server klientas vis dar tikrina serverį pagal CA, todėl CA laukas rodomas net tada, kai kliento sertifikato nėra. Operatoriaus politika lemia, ar taip pat reikia kliento sertifikato, ir joks dialogas to negali pasakyti.

Nukreipkite klientą į pasitikėjimo failą

Pasirinkite patį CA sertifikato failą, o ne jį turintį aplanką ir ne .p12 paketą, kuriame yra kliento tapatybė. Windows aplinkoje kelio sintaksė ir failų parinkiklis elgiasi kitaip nei daugumos vadovų Linux pavyzdžiuose, todėl naudokite tai, ką priima įdiegtas klientas, ir patvirtinkite, kad failą gali skaityti jį paleidžianti paskyra. Teisių problema ir trūkstamas failas dialoge atrodo vienodai, bet duoda skirtingas žurnalo eilutes. Pasirinkę dar kartą atidarykite profilio nustatymus ir patvirtinkite, kad klientas išsaugojo pasirinkimą.

<ca>
-----BEGIN CERTIFICATE-----
...operator-provided public CA...
-----END CERTIFICATE-----
</ca>

Jei klientas palaiko įterptus blokus, pirmenybę teikite operatoriaus įterptam profiliui, o ne rankomis surinktam. Įterpta medžiaga keliauja kartu su profiliu ir išlieka pakartotinai importavus, o absoliutus kelias lūžta tą akimirką, kai profilis perkeliamas į kitą mašiną.

Skaitykite kitą klaidą, o ne tą pačią

Tinkamo CA pateikimo tikslas yra pakeisti klaidą, o ne priversti ją dingti. Serverio tapatybės klaida įkėlus CA reiškia, kad sertifikatas neatitiko laukiamo vardo arba remote-cert-tls lūkesčio, ir tai yra kitas taisymas nei slaptažodžio atmetimas. Slaptažodžio atmetimas reiškia, kad TLS sluoksnis pavyko, o prisijungimo duomenys neteisingi. Išsaugokite pirmą naują pranešimą; jis yra naudingas.

Klientas, kuris prisijungia, bet nieko nepasiekia, visiškai peržengė pasitikėjimą ir dabar susiduria su maršrutizavimo arba DNS klausimu.

Niekada neišjunkite tikrinimo, kad praeitumėte tą dialogą. Klientas, priimantis bet kokį sertifikatą, neturi priežasties prašyti CA, o tunelis, kurį jis stato, nėra tas, kurį operatorius turėjo omenyje.