Fail CA yang mana masuk ke dalam profil OpenVPN hanya kata laluan?

Lalui empat soalan mengikut urutan dan dialog CA tidak lagi kabur. Bahan apa yang sebenarnya dikeluarkan pengendali, apa yang profil sudah mengandungi, medan mana yang bertanya, dan apa yang berlaku selepas fail dimuatkan? Berhenti pada soalan pertama yang tidak dapat anda jawab daripada arahan pengendali sendiri, kerana meneka melewatinya ialah cara sijil CA awam berakhir berpasangan dengan kunci peribadi yang tidak sepatutnya meninggalkan pelayan.

Urutan penting: dua soalan terakhir hanya bermakna apabila anda tahu bahan mana yang sepatutnya wujud.

Mulakan dengan apa yang profil sudah bawa

Buka profil dalam editor teks dan cari blok ca sebelum anda mencari fail. Blok ca sebaris yang memegang CA awam pengendali bermakna profil itu berdikari, dan klien yang masih meminta fail CA mungkin membaca profil lain atau import yang tidak lengkap. Jika profil sebaliknya mempunyai baris ca yang menunjuk ke laluan, laluan itu relatif kepada direktori kerja klien dalam sesetengah integrasi dan mutlak dalam yang lain. Catat bentuk mana yang anda ada sebelum mengubah apa-apa.

ca /absolute/path/operator-ca.crt
auth-user-pass
remote-cert-tls server

Periksa pakej yang dihantar untuk fail yang profil rujuk: sijil CA, kadangkala sijil klien dan kunci yang berasingan, dan mungkin fail tls-auth atau tls-crypt. Profil yang merujuk empat fail tetapi tiba dengan dua adalah tidak lengkap, dan tiada jumlah penunjuk medan dapat membaikinya. Minta bahagian yang hilang daripada pengendali daripada menggantikannya dengan sijil yang kebetulan anda ada.

Pisahkan empat jenis bahan

Sijil CA ialah bahan awam yang digunakan untuk mengesahkan identiti pelayan. Sijil klien mengenal pasti pengguna atau peranti kepada pelayan. Kunci peribadi ialah separuh rahsia sijil klien itu, dan ia tidak boleh sekali-kali menjadi kunci tandatangan CA atau kunci pelayan. Bahan tls-auth atau tls-crypt ialah rahsia dikongsi berasingan yang melindungi saluran kawalan. Keempat-empat ini tidak boleh ditukar ganti, dan menghalakan medan CA ke sijil klien menghasilkan kegagalan pengesahan yang kelihatan seperti masalah kepercayaan.

Pengesahan hanya kata laluan mengubah yang mana antara empat yang anda perlukan, bukan maksudnya. Dengan auth-user-pass dan remote-cert-tls server klien masih mengesahkan pelayan terhadap CA, sebab itu medan CA muncul walaupun tiada sijil klien. Dasar pengendali yang menentukan sama ada sijil klien juga diperlukan, dan tiada dialog boleh memberitahu anda.

Halakan klien ke fail kepercayaan

Pilih fail sijil CA itu sendiri, bukan folder yang mengandunginya dan bukan bundle .p12 yang mengandungi identiti klien. Pada Windows sintaks laluan dan pemilih fail berkelakuan berbeza daripada contoh Linux dalam kebanyakan panduan, jadi gunakan apa yang diterima klien yang dipasang dan sahkan fail itu boleh dibaca oleh akaun yang menjalankannya. Masalah kebenaran dan fail yang hilang kelihatan sama dalam dialog tetapi menghasilkan baris log berbeza. Selepas memilih, buka semula tetapan profil untuk mengesahkan klien mengekalkan pilihan itu.

<ca>
-----BEGIN CERTIFICATE-----
...operator-provided public CA...
-----END CERTIFICATE-----
</ca>

Jika klien menyokong blok sebaris, utamakan profil sebaris pengendali berbanding yang dipasang dengan tangan. Bahan sebaris bergerak bersama profil dan bertahan semasa import semula, manakala laluan mutlak rosak sebaik sahaja profil dipindahkan ke mesin lain.

Baca ralat seterusnya, bukan yang sama

Tujuan memberikan CA yang betul ialah mengubah ralat itu, bukan menghilangkannya. Kegagalan identiti pelayan selepas CA dimuatkan bermakna sijil tidak sepadan dengan nama yang dijangka atau jangkaan remote-cert-tls, yang merupakan pembaikan berbeza daripada penolakan kata laluan. Penolakan kata laluan bermakna lapisan TLS berjaya dan kelayakan itu salah. Simpan mesej baharu pertama; itulah yang berguna.

Klien yang bersambung tetapi tidak sampai ke mana-mana telah melepasi kepercayaan sepenuhnya dan kini berhadapan dengan persoalan penghalaan atau DNS.

Jangan sekali-kali lumpuhkan pengesahan untuk melepasi dialog itu. Klien yang menerima sebarang sijil tiada sebab untuk meminta CA, dan terowong yang dibinanya bukan yang dimaksudkan pengendali.