AWS Client VPN: sijil pelayan berbanding peranan sijil klien
Sijil pelayan endpoint membuktikan perkhidmatan. Pengesahan bersama menambah identiti setiap klien dan kepercayaan CA tanpa berkongsi kunci pelayan.
Endpoint Client VPN sentiasa memerlukan sijil pelayan TLS. Itulah identiti yang dipersembahkan oleh endpoint terurus apabila klien bersambung. Ia objek berbeza daripada sijil yang dipersembahkan oleh klien individu apabila pengesahan bersama digunakan. Mengelirukan kedua-duanya ialah sebab paling biasa mengapa persediaan ACM yang sebenarnya betul masih gagal pada sambungan pertama.
Berikut ialah panduan dari konsol ke luar, mengikut urutan yang benar-benar dilalui oleh sambungan.
Dua peranan, satu endpoint
Endpoint memiliki identiti pelayan dan, secara pilihan, cara untuk mengesahkan identiti klien. Kedua-duanya dikonfigurasikan secara berasingan. Satu menentukan sama ada klien boleh mempercayai perkhidmatan; satu lagi menentukan sama ada perkhidmatan menerima klien.
| Material | Purpose | Where it lives |
|---|---|---|
| Server certificate and private key | The managed endpoint proves its TLS identity | ACM, in the endpoint's Region |
| Client certificate and matching key | An individual client proves its identity | On the device |
| CA trust material | The verifier checks the issuer chain | Selected for the client role |
Baca jadual sebagai tiga keperluan berasingan dan bukan sebagai satu sijil. Sijil pelayan dan kunci peribadinya kekal dengan perkhidmatan. Sijil klien dan kunci peribadi yang sepadan tinggal pada peranti. Bahan CA ialah apa yang digunakan oleh pengesah untuk memeriksa rantai. Hanya baris tengah pernah tergolong pada komputer riba.
Apa yang dilakukan sijil pelayan ACM
Apabila anda mencipta endpoint, sijil pelayan mesti tersedia dalam ACM di Wilayah yang sama dengan endpoint. Konsol meminta ARN, dan ARN itu mesti dapat diselesaikan di sana. ACM boleh menyimpan sijil yang anda sediakan dengan pengesahan domain, atau yang anda import bersama kunci dan rantainya. Kedua-duanya berfungsi dalam peranan ini; ia berbeza dari segi pembaharuan dan siapa yang memegang kunci peribadi.
Pilih laluan penyediaan yang sepadan dengan siapa yang boleh memperbaharui sijil, bukan yang kebetulan menghasilkan fail yang kelihatan sah.
Apa yang ditambah oleh pengesahan bersama
Memilih pengesahan klien berasaskan sijil menambah soalan kedua: klien mana yang boleh bersambung. Setiap klien mempersembahkan sijilnya sendiri dan membuktikan pemilikan kunci peribadi yang sepadan. Identiti berasingan itulah yang membolehkan pembatalan terpilih kemudian. Menyalin satu kunci klien ke setiap peranti membuang sifat itu secara senyap, walaupun sijil pelayan diperoleh dengan sempurna.
Kaedah pengesahan endpoint ialah pilihan, bukan keperluan universal.
Active Directory dan pengesahan bergabung menjawab soalan yang sama melalui cara lain. Resipi sijil bersama bukan secara automatik reka bentuk log masuk untuk penggunaan tersebut, dan pengesahan TLS pelayan kekal tanpa mengira bagaimana pengguna dibenarkan masuk.
Mengapa ARN CA yang sama bukan perkongsian kunci
AWS mendokumenkan bahawa apabila sijil pelayan dan klien dikeluarkan oleh CA yang sama, ARN sijil pelayan juga boleh digunakan untuk pemilihan sijil klien. Ayat itu mengenai rantai mana yang dipercayai oleh endpoint semasa pengesahan. Ia tidak memberitahu klien supaya menggunakan kunci peribadi pelayan. Komputer riba masih memerlukan sijil kliennya sendiri dan kunci yang sepadan sendiri.
Apabila CA klien ialah pengeluar berbeza, laluan yang didokumenkan ialah mengimport CA itu ke dalam ACM dan memilihnya untuk peranan klien.
Jejaki kegagalan kembali ke peringkat
Kenal pasti peringkat mana yang gagal sebelum anda menggantikan apa-apa. Jika klien menolak endpoint, ARN pelayan atau rantainya ialah suspek. Jika endpoint menolak klien, lihat sijil klien, pengeluarannya dan kaedah pengesahan yang dipilih. Jika terowong naik dan trafik masih gagal, anda sudah melepasi sijil.
Gantikan satu objek pada satu masa, kerana menukar kedua-dua hujung serentak menghasilkan semula kekaburan yang anda mulakan.
Semak juga algoritma kunci yang disokong dan sambungan yang diperlukan oleh perkhidmatan untuk peranan tertentu. Sijil yang memenuhi laman web awam bukan bukti bahawa semua keperluan identiti Client VPN telah dipenuhi.
Catat ARN mana yang dipegang oleh setiap medan, CA mana yang mengeluarkan sijil klien dan kaedah pengesahan mana yang sebenarnya digunakan oleh endpoint. Tiga baris rekod menjadikan pembaharuan seterusnya sebagai tugas dan bukan penyiasatan.