Сертификатот е видлив во Windows, но OpenVPN не може да го користи неговиот клуч

Сертификатот е видлив во прегледувачот на сертификати на Windows, а клиентот сепак не може да го користи. Гледањето сертификат докажува само дека во складиште постои јавен објект. Тоа не докажува дека процесот на поврзување ќе го најде соодветниот приватен клуч или дека смее да го користи.

Три објекти мора да се поклопат. Избраниот сертификат, приватниот клуч зад него и сметката под која работи клиентот се одделни работи и секоја може да пропадне сама по себе.

Три објекти, три одговори

Заедничката верзија на OpenVPN на Windows документира избирач на складиште CryptoAPI, cryptoapicert, кој прима отпечаток. Вредноста мора да го означи сертификатот што навистина сакате да го користите, а не друг со слично име. Други апликации засновани на OpenVPN можат да имаат сосема поинаков модел на увоз, затоа избирачот е доказ само за онаа изградба што го документира. Потврдете дека вашиот клиент го спроведува механизмот пред да отстранувате грешки понатаму.

Ако изградбата не го поддржува избирачот, решението е друг формат на профил, а не друг сертификат.

Дали избирачот води до точниот идентитет

Јавен сертификат може да се увезе без неговиот приватен клуч. Прегледувачот го прикажува во двата случаи и затоа овој дефект изгледа како клиентот да игнорира очигледно присутен сертификат. Проверете ја поврзаноста со клучот, а не само постоењето на записот.

Обновениот сертификат додава втора стапица. Двата записи можат да останат во складиштето додека профилот и понатаму го наведува постариот отпечаток, и клиентот продолжува да го избира идентитетот што сакавте да го повлечете.

Проверете до кој идентитет води избирачот пред да ги погледнете дозволите. Погрешен отпечаток пропаѓа исто како отсутен клуч.

Може ли оваа сметка да го користи клучот

Пристапот до клучот е по сметка. Услуга, закажана задача и интерактивна сесија на работна површина можат да имаат различен поглед на складиштето и различно овластување за користење приватен клуч. Тоа што сертификатот е видлив во вашата сопствена сесија не кажува ништо за сметката на услугата.

Клуч поддржан од хардвер може да бара свој добавувач и чекор на потврда. Услуга што не може да прикаже барање нема да биде спасена со извоз на клучот во обична датотека.

Прочитајте ја локалната грешка пред да промените што и да е. Неуспех при избор, неуспех при потпишување и одбивање од серверот се три различни исходи. Само првите два се локални. Третиот значи дека клучот работел и дека серверот одлучил против сертификатот.

Локалната употреба не е прифаќање од серверот

Локалниот успех не е овластување. Откако клиентот ќе потпише со својот клуч, серверот и понатаму го оценува издавачот, рокот на важност, улогата и својата политика за пристап. Друг сертификат од истиот CA не носи автоматски исти права за VPN.

На серверот му треба синџирот на доверба, а не копија од приватниот клуч на клиентот. Испраќањето на клучот до серверот никогаш не е поправка на проблем со проверка.

Работете на дефектот по ред

Зачувајте го точниот текст на грешката. Недостатокот на дозвола за клучот не смее да стане промена на CA, а одбивањето од серверот не смее да стане поправка на складиштето. Секој има свои докази.

Работете по редоследот по кој се појавува дефектот: избирач, клуч, сметка, потоа политика на серверот. Референцата на заедницата за клиентот го документира избирачот на складиште на Windows за верзијата што ја извршувате.