Kata laluan VPN yang betul tidak boleh menggantikan sijil yang hilang

Kelayakan adalah betul, profil diimport dengan bersih, dan sambungan masih gagal sebelum pengesahan selesai. Pada Windows mesejnya mungkin ralat 798, tentang sijil yang tidak ditemui untuk kaedah EAP. Pada OpenVPN log klien menunjukkan handshake TLS yang tidak pernah memuaskan pelayan. Kedua-duanya menerangkan objek sama yang hilang: sijil klien yang sepatutnya dikemukakan oleh klien.

Kata laluan membuktikan pengetahuan tentang rahsia; sijil membuktikan pemilikan kunci, dan satu tidak menggantikan yang lain.

Kata laluan tidak pernah menjadi masalah

Ralat 798 ialah kegagalan carian sijil. Klien diminta sijil yang sepadan dengan kaedah pengesahan yang dikonfigurasikan, meneliti storannya dan tidak menemui apa-apa yang boleh digunakan. Itu boleh bermakna sijil tiada, ada tanpa kunci peribadinya, telah tamat tempoh, atau disimpan di tempat yang carian tidak sampai. Mencuba semula kata laluan tidak boleh mengubah mana-mana syarat itu, sebab itulah ralat kembali walaupun dengan kelayakan yang betul.

Baca mesej sebelum bertindak. Penolakan kelayakan, kegagalan carian sijil dan kegagalan handshake TLS ialah tiga penemuan berbeza, dan hanya satu melibatkan kata laluan.

Apa yang perlu ada pada stor klien

Dua objek terlibat. Sijil klien mesti dipasang untuk pengguna yang menjalankan klien VPN, bersama kunci peribadinya, dan akar pengeluar mesti dipercayai. Fail .cer hanya mengandungi sijil awam, jadi ia tidak boleh mengesahkan apa-apa dengan sendirinya. Dalam pengurus sijil Windows, identiti klien berada dalam stor peribadi pengguna semasa, dan akar berada dalam stor akar dipercayai.

Memasang identiti dalam stor mesin, atau hanya dalam stor akar, tidak memenuhi carian yang ditujukan kepada stor peribadi pengguna. Semak stor, bendera kunci peribadi dan tarikh sah bersama-sama, kemudian mulakan semula klien supaya ia membaca semula stor.

Dua produk, kelayakan sama yang hilang

Pelayan OpenVPN memerlukan sijil klien secara lalai. Menambah auth-user-pass pada klien menghantar nama pengguna dan kata laluan, dan handshake TLS masih meminta sijil, jadi kata laluan sahaja tidak boleh melengkapkan sambungan di bawah verify-client-cert require. Pelayan boleh ditetapkan supaya tidak memerlukan apa-apa, yang menjadikan kata laluan satu-satunya kelayakan klien dan merupakan pengurangan kekuatan yang sebenar. Skrip shell di belakang auth-user-pass-verify boleh mengesahkan kelayakan, dan ia memerlukan pelaksanaan skrip diaktifkan, yang menjadikannya reka bentuk lebih berisiko daripada backend pengesahan yang wajar.

Profil yang bergantung pada kata laluan sahaja juga bergantung pada pilihan yang ditolak, yang seterusnya bergantung pada mekanisme tarikan diaktifkan.

Jangan baiki sijil yang hilang dengan mematikan semakan

Godaannya ialah melonggarkan pengesahan supaya mesej hilang. Itu membuang kawalan yang sedang menjalankan tugasnya dan meninggalkan sambungan yang tidak lagi membuktikan dakwaannya. Jika get laluan baru sahaja menukar akarnya, muat turun semula pakej klien dan bukannya menyunting profil, kerana pakej lama mungkin masih membawa akar sebelumnya. Jika pilihan pengesahan sijil tiada dalam penyunting profil, versi Windows yang dipasang mungkin tidak mendedahkan kaedah itu; kemas kini sistem dan bukannya menyunting XML secara manual.

Catat stor mana yang menyimpan sijil, pengguna mana yang menjalankan klien dan sama ada kunci peribadi hadir. Ketiga-tiganya menerangkan hampir setiap kes kegagalan ini.

Kata laluan itu baik. Kelayakan yang benar-benar diperlukan oleh kaedah itu ada di tempat lain.