Kura CA datne iet OpenVPN profilā, kurā ir tikai parole?

Izstaigājiet četrus jautājumus pēc kārtas, un CA dialogs vairs nav neviennozīmīgs. Kādu materiālu operators faktiski izsniedza, ko profils jau satur, kurš lauks jautā un kas notiek pēc faila ielādes? Apstājieties pie pirmā jautājuma, uz kuru nevarat atbildēt no paša operatora norādēm, jo minēšana tālāk ir tieši tas ceļš, kurā publisks CA sertifikāts nonāk pārī ar privātu atslēgu, kurai nekad nevajadzēja pamest serveri.

Secība ir svarīga: pēdējiem diviem jautājumiem ir jēga tikai tad, kad zināt, kādam materiālam jābūt.

Sāciet ar to, ko profils jau satur

Atveriet profilu teksta redaktorā un pirms faila meklēšanas meklējiet ca bloku. Iekļauts ca bloks ar operatora publisko CA nozīmē, ka profils ir pašpietiekams, un klients, kas joprojām pieprasa CA failu, varbūt lasa citu profilu vai nepilnu importu. Ja profilā tā vietā ir uz ceļu norādoša ca rinda, šis ceļš dažās integrācijās ir relatīvs pret klienta darba direktoriju, bet citās absolūts. Pierakstiet, kura forma jums ir, pirms kaut ko maināt.

ca /absolute/path/operator-ca.crt
auth-user-pass
remote-cert-tls server

Pārbaudiet piegādāto pakotni failiem, uz kuriem profils atsaucas: CA sertifikāts, dažreiz atsevišķs klienta sertifikāts un atslēga, un iespējams tls-auth vai tls-crypt fails. Profils, kas atsaucas uz četriem failiem, bet nāk ar diviem, ir nepilnīgs, un nekāds lauku rādīšanas daudzums to nelabo. Lūdziet operatoram trūkstošo daļu, nevis aizstājiet to ar sertifikātu, kas jums nejauši ir.

Atdaliet četrus materiāla veidus

CA sertifikāts ir publisks materiāls, ko izmanto servera identitātes pārbaudei. Klienta sertifikāts identificē lietotāju vai ierīci serverim. Privātā atslēga ir šī klienta sertifikāta slepenā puse, un tai nekad nav jābūt CA parakstīšanas atslēgai vai servera atslēgai. tls-auth vai tls-crypt materiāls ir atsevišķs koplietots noslēpums, kas aizsargā vadības kanālu. Šie četri nav savstarpēji aizstājami, un CA lauka novirzīšana uz klienta sertifikātu rada pārbaudes kļūmi, kas izskatās kā uzticēšanās problēma.

Autentifikācija tikai ar paroli maina to, kurš no četriem jums nepieciešams, nevis ko tie nozīmē. Ar auth-user-pass un remote-cert-tls server klients joprojām pārbauda serveri pret CA, tāpēc CA lauks parādās arī tad, kad klienta sertifikāta nav. Operatora politika izlemj, vai nepieciešams arī klienta sertifikāts, un neviens dialogs to nevar pateikt.

Novirziet klientu uz uzticēšanās failu

Izvēlieties pašu CA sertifikāta failu, nevis mapi, kurā tas atrodas, un nevis .p12 pakotni, kurā ir klienta identitāte. Operētājsistēmā Windows ceļa sintakse un failu izvēlētājs uzvedas citādi nekā vairumā rokasgrāmatu minētajos Linux piemēros, tāpēc izmantojiet to, ko pieņem instalētais klients, un pārliecinieties, ka fails ir lasāms tai kontam, kas to palaiž. Atļauju problēma un trūkstošs fails dialogā izskatās vienādi, bet rada atšķirīgas žurnāla rindas. Pēc izvēles vēlreiz atveriet profila iestatījumus, lai pārliecinātos, ka klients saglabāja izvēli.

<ca>
-----BEGIN CERTIFICATE-----
...operator-provided public CA...
-----END CERTIFICATE-----
</ca>

Ja klients atbalsta iekļautus blokus, dodiet priekšroku operatora iekļautajam profilam, nevis ar roku saliktam. Iekļautais materiāls ceļo kopā ar profilu un pārdzīvo atkārtotu importu, bet absolūtais ceļš salūzt tajā brīdī, kad profils tiek pārvietots uz citu mašīnu.

Lasiet nākamo kļūdu, nevis to pašu

Pareiza CA nodrošināšanas mērķis ir mainīt kļūdu, nevis likt tai pazust. Servera identitātes kļūme pēc CA ielādes nozīmē, ka sertifikāts neatbilda gaidītajam nosaukumam vai remote-cert-tls gaidām, un tas ir cits labojums nekā paroles noraidīšana. Paroles noraidīšana nozīmē, ka TLS slānis izdevās un akreditācijas dati ir nepareizi. Saglabājiet pirmo jauno ziņojumu; tas ir noderīgais.

Klients, kas pieslēdzas, bet nekur nenokļūst, ir pilnībā pārsniedzis uzticēšanos un tagad saskaras ar maršrutēšanas vai DNS jautājumu.

Nekad neizslēdziet pārbaudi, lai tiktu garām šim dialogam. Klientam, kas pieņem jebkuru sertifikātu, nav iemesla pieprasīt CA, un tunelis, ko tas būvē, nav tas, ko operators bija domājis.