AWS Client VPN: серверски сертификат и улогата на клиентскиот сертификат
Серверскиот сертификат на крајната точка ја докажува услугата. Взаемното автентицирање додава идентитети по клиент и доверба во CA без споделување на клучот на серверот.
Крајната точка на Client VPN секогаш бара TLS серверски сертификат. Тоа е идентитетот што го презентира управуваната крајна точка кога клиент се поврзува. Тоа е различен објект од сертификатите што ги презентираат поединечните клиенти при взаемно автентицирање. Мешањето на двете е најчестата причина зошто инаку правилна поставеност на ACM сѐ уште не успева при првото поврзување.
Следува преглед од конзолата кон надвор, по редоследот по кој една врска навистина поминува.
Две улоги, една крајна точка
Крајната точка има серверски идентитет и, по избор, начин за проверка на идентитетите на клиентите. Овие се конфигурираат одделно. Едното одлучува дали клиентот може да ј верува на услугата; другото одлучува дали услугата го прифаќа клиентот.
| Material | Purpose | Where it lives |
|---|---|---|
| Server certificate and private key | The managed endpoint proves its TLS identity | ACM, in the endpoint's Region |
| Client certificate and matching key | An individual client proves its identity | On the device |
| CA trust material | The verifier checks the issuer chain | Selected for the client role |
Читајте ја табелата како три независни барања, а не како еден сертификат. Серверскиот сертификат и неговиот приватен клуч остануваат кај услугата. Клиентскиот сертификат и соодветниот приватен клуч живеат на уредот. Материјалот на CA е она што го користи проверувачот за да ја провери веригата. Само средниот ред некогаш му припаѓа на преносен компјутер.
Што прави ACM серверскиот сертификат
Кога ја создавате крајната точка, серверскиот сертификат мора да биде достапен во ACM во истиот регион каде крајната точка. Конзолата бара ARN и тој ARN таму мора да се реши. ACM може да чува сертификат што сте го обезбедиле со проверка на домен или оној што сте го увезле заедно со клучот и веригата. Двата работат во оваа улога; се разликуваат по обновувањето и по тоа кој го држи приватниот клуч.
Изберете го патот на обезбедување според тоа кој може да го обнови сертификатот, а не според тоа кој случајно создаде датотека што изгледа валидна.
Што додава взаемното автентицирање
Изборот на автентицирање на клиент врз основа на сертификат додава второ прашање: кои клиенти воопшто смеаат да се поврзат. Секој клиент го презентира сопствениот сертификат и докажува дека го поседува соодветниот приватен клуч. Токму одделните идентитети овозможуваат подоцна селективно отповикување. Копирањето на еден клиентски клуч на секој уред тивко ја фрла таа особина, дури кога серверскиот сертификат е набавен беспрекорно.
Методот на автентицирање на крајната точка е избор, а не универзално барање.
Active Directory и федеративното автентицирање одговараат на истото прашање со други средства. Рецептот со взаемни сертификати не е автоматски дизајнот на најавување за тие внедрувања, а TLS проверката на серверот останува на сила без оглед на тоа како се пушта корисникот.
Зошто истиот CA ARN не е споделување клучеви
AWS документира дека кога серверскиот и клиентскиот сертификат се издадени од истиот CA, ARN на серверскиот сертификат може да се користи и за избор на клиентскиот сертификат. Таа реченица е за веригата на која крајната точка има доверба при проверката. Таа не им кажува на клиентите да го користат приватниот клуч на серверот. Преносниот компјутер сѐ уште му требаат сопствен клиентски сертификат и сопствен соодветен клуч.
Кога CA на клиентот е друг издавач, документираниот пат е да се увезе тој CA во ACM и да се избере за улогата на клиент.
Вратете го дефектот на етапа
Преда да замените нешто, утврдете кој етап не успева. Ако клиентот ја одбива крајната точка, сомнителни се ARN на серверот или неговата верига. Ако крајната точка го одбива клиентот, погледнете го клиентскиот сертификат, неговиот издавач и избраниот метод на автентицирање. Ако тунелот се крене, а сообраќајот сеуште не успева, веќе сте ги поминале сертификатите.
Заменете еден објект во еден чекор, бидеќи замената на двата краја истовремено ја репродуцира двосмисленоста со која сте почнале.
Проверете ги и поддржаните алгоритми за клучеви и бараните проширувања на услугата за конкретната улога. Сертификат што задоволува јавен веб-сајт не е доказ дека се исполнети сите барања за идентитет на Client VPN.
Запишете кој ARN го држи секое поле, кој CA го издал клиентскиот сертификат и кој метод на автентицирање крајната точка стварно го користи. Три реда запис ја претвораат следната обнова во задача наместо во истрага.