Sertifikatas matomas Windows, bet OpenVPN negali naudoti jo rakto

Sertifikatas matomas Windows sertifikatų peržiūroje, o klientas vis tiek negali jo naudoti. Sertifikato matymas įrodo tik tai, kad saugykloje yra viešas objektas. Tai neįrodo, kad ryšio procesas ras atitinkamą privatų raktą arba kad jam leidžiama jį naudoti.

Trys objektai turi sutapti. Pasirinktas sertifikatas, už jo esantis privatus raktas ir paskyra, kuria veikia klientas, yra atskiri dalykai, ir kiekvienas gali sugesti savarankiškai.

Trys objektai, trys atsakymai

Bendruomenės OpenVPN versija Windows dokumentuoja CryptoAPI saugyklos parinkiklį, cryptoapicert, kuris priima piršto atspaudą. Reikšmė turi nurodyti sertifikatą, kurį iš tikrųjų ketinate naudoti, o ne kitą panašiu pavadinimu. Kitos OpenVPN pagrindu sukurtos programos gali turėti visiškai kitą importavimo modelį, todėl parinkiklis yra įrodymas tik tai kompiliacijai, kuri jį dokumentuoja. Patvirtinkite, kad jūsų klientas įgyvendina šį mechanizmą, prieš derindami ką nors toliau.

Jei kompiliacija parinkiklio nepalaiko, sprendimas yra kitas profilio formatas, o ne kitas sertifikatas.

Ar parinkiklis nukreipia į teisingą tapatybę

Viešą sertifikatą galima importuoti be jo privataus rakto. Peržiūra jį rodo abiem atvejais, ir todėl šis gedimas atrodo taip, lyg klientas ignoruotų akivaizdžiai esantį sertifikatą. Tikrinkite rakto susiejimą, o ne vien įrašo buvimą.

Atnaujintas sertifikatas prideda antrus spąstus. Abu įrašai gali likti saugykloje, kol profilis vis dar nurodo senesnį piršto atspaudą, ir klientas toliau renkasi tapatybę, kurią norėjote išbraukti.

Prieš žiūrėdami į leidimus patikrinkite, į kurią tapatybę nukreipia parinkiklis. Neteisingas piršto atspaudas sugenda taip pat kaip trūkstamas raktas.

Ar ši paskyra gali naudoti raktą

Prieiga prie rakto skaičiuojama kiekvienai paskyrai. Tarnybos, suplanuotos užduoties ir interaktyvios darbalaukio sesijos saugyklos vaizdas bei leidimas naudoti privatų raktą gali skirtis. Tai, kad sertifikatas matomas jūsų pačių sesijoje, nieko nesako apie tarnybos paskyrą.

Technine įranga paremtam raktui gali prireikti jo tiekėjo ir patvirtinimo veiksmo. Tarnybos, kuri negali parodyti užklausos, neišgelbės rakto eksportavimas į paprastą failą.

Prieš ką nors keisdami perskaitykite vietinę klaidą. Pasirinkimo gedimas, pasirašymo gedimas ir serverio atmetimas yra trys skirtingi rezultatai. Tik pirmieji du yra vietiniai. Trečiasis reiškia, kad raktas veikė ir serveris nusprendė prieš sertifikatą.

Vietinis naudojimas nėra serverio priėmimas

Vietinė sėkmė nėra įgaliojimas. Klientui pasirašius savo raktu, serveris vis dar vertina išdavėją, galiojimo laikotarpį, vaidmenį ir savo prieigos politiką. Kitas tos pačios CA sertifikatas automatiškai neturi tų pačių VPN teisių.

Serveriui reikia pasitikėjimo grandinės, o ne kliento privataus rakto kopijos. Rakto siuntimas serveriui niekada nėra patikros problemos sprendimas.

Nagrinėkite gedimą iš eilės

Išsaugokite tikslų klaidos tekstą. Trūkstamas rakto leidimas neturi virsti CA pakeitimu, o serverio atmetimas neturi virsti saugyklos taisymu. Kiekvienas turi savo įrodymus.

Dirbkite ta tvarka, kuria gedimas pasireiškia: parinkiklis, raktas, paskyra, tada serverio politika. Bendruomenės kliento nuoroda dokumentuoja Windows saugyklos parinkiklį jūsų naudojamai versijai.