Sertifikāts ir redzams Windows, bet OpenVPN nevar izmantot tā atslēgu

Sertifikāts ir redzams Windows sertifikātu skatītājā, un tomēr klients to nevar izmantot. Sertifikāta redzēšana pierāda tikai to, ka krātuvē pastāv publisks objekts. Tas nepierāda, ka savienojuma process atrod atbilstošo privāto atslēgu vai ka tam ir atļauja to izmantot.

Trim objektiem jāsakrīt. Izvēlētais sertifikāts, aiz tā esošā privātā atslēga un konts, ar kuru darbojas klients, ir atsevišķas lietas, un katra var neizdoties pati par sevi.

Trīs objekti, trīs atbildes

Kopienas OpenVPN versija sistēmā Windows dokumentē CryptoAPI krātuves atlasītāju, cryptoapicert, kas pieņem pirksta nospiedumu. Vērtībai jānorāda sertifikāts, kuru tiešām plānojat izmantot, nevis cits ar līdzīgu nosaukumu. Citām uz OpenVPN balstītām lietotnēm var būt pavisam cits importēšanas modelis, tāpēc atlasītājs ir pierādījums tikai tai būvei, kas to dokumentē. Pirms kaut ko labot tālāk, pārliecinieties, ka jūsu klients šo mehānismu ievieš.

Ja būve atlasītāju neatbalsta, risinājums ir cits profila formāts, nevis cits sertifikāts.

Vai atlasītājs nonāk pie pareizās identitātes

Publisku sertifikātu var importēt bez tā privātās atslēgas. Skatītājs to rāda abos gadījumos, un tāpēc šī kļūme izskatās tā, it kā klients ignorētu acīmredzami esošu sertifikātu. Pārbaudiet atslēgas saistījumu, nevis tikai ieraksta esamību.

Atjaunots sertifikāts pievieno otru slazdu. Abi ieraksti var palikt krātuvē, kamēr profils vēl norāda vecāko pirksta nospiedumu, un klients turpina izvēlēties identitāti, kuru gribējāt izņemt.

Pirms skatīties atļaujas, pārbaudiet, pie kādas identitātes atlasītājs nonāk. Nepareizs pirksta nospiedums neizdodas tāpat kā trūkstoša atslēga.

Vai šis konts var izmantot atslēgu

Piekļuve atslēgai ir katram kontam atsevišķi. Pakalpojumam, plānotajam uzdevumam un interaktīvajai darbvirsmas sesijai var būt atšķirīgs krātuves skats un atšķirīga atļauja izmantot privāto atslēgu. Tas, ka sertifikāts ir redzams jūsu paša sesijā, neko neizsaka par pakalpojuma kontu.

Uz aparatūras balstītai atslēgai var būt vajadzīgs tās nodrošinātājs un apstiprināšanas solis. Pakalpojumu, kas nevar parādīt pieprasījumu, neglābs atslēgas eksportēšana vienkāršā failā.

Pirms kaut ko mainīt, izlasiet vietējo kļūdu. Atlases kļūme, parakstīšanas kļūme un servera atteikums ir trīs dažādi iznākumi. Tikai pirmie divi ir vietēji. Trešais nozīmē, ka atslēga strādāja un serveris nolēma pret sertifikātu.

Vietēja izmantošana nav servera pieņemšana

Vietēji panākumi nav pilnvarojums. Pēc tam, kad klients ir parakstījis ar savu atslēgu, serveris joprojām vērtē izdevēju, derīguma logu, lomu un savu piekļuves politiku. Cits sertifikāts no tās pašas CA automātiski nenes tās pašas VPN tiesības.

Serverim vajadzīga uzticības ķēde, nevis klienta privātās atslēgas kopija. Atslēgas nosūtīšana serverim nekad nav verifikācijas problēmas risinājums.

Risiniet kļūmi pēc kārtas

Saglabājiet precīzu kļūdas tekstu. Trūkstoša atslēgas atļauja nedrīkst pārvērsties CA maiņā, un servera atteikums nedrīkst pārvērsties krātuves labošanā. Katram ir savi pierādījumi.

Strādājiet tādā secībā, kādā kļūme parādās: atlasītājs, atslēga, konts, tad servera politika. Kopienas klienta uzziņa dokumentē Windows krātuves atlasītāju jūsu izmantotajai versijai.