AWS Client VPN: серверийн гэрчилгээ ба клиентийн гэрчилгээний үүрэг
Төгсгөлийн цэгийн серверийн гэрчилгээ нь үйлчилгээг батална. Харилцан баталгаажуулалт нь серверийн түлхүүрийг хуваалзахгүйгээр клиент тус бүрийн таних тэмдэг болон CA-д итгэх итгэлийг нэмнэ.
Client VPN-ийн төгсгөлийн цэгт үргэлж TLS серверийн гэрчилгээ хэрэгтэй. Энэ нь удирдлагатай төгсгөлийн цэг клиент холбогдох үед үзүүлдэг таних тэмдэг юм. Энэ нь харилцан баталгаажуулалт ашиглах үед бие даасан клиентүүд үзүүлдэг гэрчилгээнээс өөр объект юм. Энэ хоёрыг андуурах нь бусад талаараа зөв ACM тохиргоо эхний холболт дээр бүтэлгүйтэх хамгийн түгээмтэй шалтгаан юм.
Доор консолоос гадагш, холболт бодитоор туулах дарааллаар тоймлов.
Хоёр үүрэг, нэг төгсгөлийн цэг
Төгсгөлийн цэг нь серверийн таних тэмдэг, мөн сонголтоор клиентүүдийн таних тэмдгийг шалгах аргатай. Эдгээрийг тусдань тохируулна. Нэг нь клиент үйлчилгээнд итгэж чадах эсэх ийг шийддэг; нөгөө нь үйлчилгээ клиентийг хүлээн авах эсэхийг шийддэг.
| Material | Purpose | Where it lives |
|---|---|---|
| Server certificate and private key | The managed endpoint proves its TLS identity | ACM, in the endpoint's Region |
| Client certificate and matching key | An individual client proves its identity | On the device |
| CA trust material | The verifier checks the issuer chain | Selected for the client role |
Хүснэгтийг нэг гэрчилгээ биш, гуравн бие даасан шаардлага гэж уншина уу. Серверийн гэрчилгээ болон түүний хувийн түлхүүр үйлчилгээнд үлдэнэ. Клиентийн гэрчилгээ болон түүнд тохирох хувийн түлхүүр төхөөрөмж дээр байна. CA-ийн материал нь баталгаажуулагч гинжийг шалгахад ашигладаг зүйл юм. Зөвхөн дунд мөр л зөөврийн компьютерт хамаарагдана.
ACM-ийн серверийн гэрчилгээ юу хийдэг вэ
Төгсгөлийн цэгийг үүсгэх үед серверийн гэрчилгээ нь ACM-д төгсгөлийн цэгтэй нэг бүс нутагт боломжтой байх ёстой. Консол ARN шаардаг бөгөөд тэр ARN тэнд шийдэгдэх ёстой. ACM нь домейний баталгаажуулалтаар олгосон гэрчилгээ, эсвэл түлхүүр, гинжийнхээ хамт импортлосон гэрчилгээг хадгалж болно. Хоёулаа энэ үүрэгт ажилладаг; тэдгээр нь сунгалт болон хувийн түлхүүр хэнд байгаагаараа ялгаатай.
Гэрчилгээг хэн сунгаж чадахад тохирох олгох замыг сонгоно уу, санамсаргүйгээр хүчинтэй харагдах файл үүсгэсэн замыг биш.
Харилцан баталгаажуулалт юу нэмдэг вэ
Гэрчилгээнд суурилсан клиентийн баталгаажуулалтыг сонгох нь хоёр дахь асуултыг нэмнэ: ямар клиентүүд ерөнхийдөө холбогдож болох вэ. Клиент бүр өөрийн гэрчилгээг үзүүлж, тохирох хувийн түлхүүрийг эзэмшиж байгаагаа нотолно. Яг тусдаа таних тэмдгүүд нь дараа нь сонгон хүчингүй болгох боломжийг олгодог. Нэг клиентийн түлхүүрийг бүх төхөөрөмжид хуулах нь серверийн гэрчилгээ төгс олгогдсон байсан ч тэр шинж чанарыг чимээгүй хаядаг.
Төгсгөлийн цэгийн баталгаажуулалтын арга нь сонголт, нийтийн шаардлага биш.
Active Directory болон холбооны баталгаажуулалт ижил асуултад өөр аргаар хариу өгдөг. Харилцан гэрчилгээний жор нь эдгээр байршуулалтын нэвтрэх загвар болох албагүй бөгөөд серверийн TLS шалгалт хэрэглэгчийг хэрхэн оруулж байгаагаас үл хамааран хэвээр байна.
Яагаад ижил CA ARN нь түлхүүр хуваалцах биш вэ
AWS нь сервер болон клиентийн гэрчилгээг нэг CA-аас олгосон тохиолдолд серверийн гэрчилгээний ARN-ийг клиентийн гэрчилгээ сонгоход д ашиглаж болно гэж баримтжуулдаг. Тэр өгүүлбэр нь төгсгөлийн цэг шалгахдаа аль гинжид итгэдэг тухай. Энэ нь клиентүүдэд серверийн хувийн түлхүүрийг ашигла гэж хэлээгүй. Зөөврийн компьютерт өөрийн клиентийн гэрчилгээ болон өөрийн тохирох түлхүүр байсаар л хэрэгтэй.
Клиентийн CA өөр олгогч болсон үед, баримтжуулсан зам нь тэр CA-г ACM-д импортлож, клиентийн үүрэгт сонгох юм.
Алдааг үе шат руу буцаа
Ямар нэг зүйлийг солихоос өмнө аль үе шат бүтэлгүйтэж байгааг тодорхайл. Клиент төгсгөлийн цэгийг татгалзах юм бол серверийн ARN эсвэл түүний гинж сэжигтэй. Төгсгөлийн цэг клиентийг татгалзах юм бол клиентийн гэрчилгээ, түүний олгогч, сонгосон баталгаажуулалтын аргыг хараарай. Туннель босож, трафик дараалаад нь бүтэлгүйтэж байвал та гэрчилгээнээс халисан байна.
Нэг удаагаар нэг объектийг солино уу, учир нь хоёр төгсгөлийг зэрэг солих нь таны эхэлсэн тодорхойбуй байдлыг дахин бий болгоно.
Тухайн үүрэгт үйлчилгээний дэмждэг түлхүүрийн алгоритм болон шаардлагатай өргөтгөлийг мөн шалгана уу. Нийтийн вэб сайтыг хангах гэрчилгээ нь Client VPN-ийн бүх таних тэмдгийн шаардлага биелсэний баталгаа биш.
Аль талбар ямар ARN агуулж байгаа, клиентийн гэрчилгээг аль CA олгосон, төгсгөлийн цэг бодитоор аль баталгаажуулалтын аргыг ашигладаг байгааг бичинэ уу. Гуравн мөр бичлэг дараагийн сунгалтыг мөрдөн шалгалт биш, ажил болгоно.