Sijil kelihatan dalam Windows tetapi OpenVPN tidak boleh menggunakan kuncinya

Sijil kelihatan dalam pemerhati sijil Windows, namun klien masih tidak dapat menggunakannya. Melihat sijil hanya membuktikan bahawa ada objek awam dalam sesuatu stor. Ia tidak membuktikan bahawa proses sambungan dapat menemui kunci peribadi yang sepadan atau dibenarkan menggunakannya.

Tiga objek mesti sepadan. Sijil yang dipilih, kunci peribadi di belakangnya dan akaun yang menjalankan klien ialah perkara berasingan, dan setiap satu boleh gagal dengan sendirinya.

Tiga objek, tiga jawapan

Versi komuniti OpenVPN pada Windows mendokumenkan pemilih stor CryptoAPI, cryptoapicert, yang mengambil cap jari. Nilai itu mesti mengenal pasti sijil yang benar-benar ingin anda gunakan, bukan sijil lain dengan nama yang serupa. Aplikasi lain berasaskan OpenVPN mungkin mempunyai model import yang sama sekali berbeza, jadi pemilih itu hanya bukti bagi binaan yang mendokumenkannya. Sahkan bahawa klien anda melaksanakan mekanisme ini sebelum menyahpepijat apa-apa di hilir.

Jika binaan itu tidak menyokong pemilih, penyelesaiannya ialah format profil lain, bukan sijil lain.

Adakah pemilih menuju identiti yang betul

Sijil awam boleh diimport tanpa kunci peribadinya. Pemerhati tetap menunjukkannya, dan itulah sebabnya kegagalan ini kelihatan seperti klien mengabaikan sijil yang jelas ada. Semak kaitan kunci, bukan hanya kewujudan entri.

Sijil yang diperbaharui menambah perangkap kedua. Kedua-dua entri boleh kekal dalam stor sementara profil masih menamakan cap jari yang lebih lama, dan klien terus memilih identiti yang anda mahu bersarakan.

Semak identiti mana yang dituju oleh pemilih sebelum melihat kebenaran. Cap jari yang salah gagal sama seperti kunci yang hilang.

Bolehkah akaun ini menggunakan kunci

Akses kunci adalah mengikut akaun. Perkhidmatan, tugas berjadual dan sesi desktop interaktif boleh mempunyai pandangan stor dan kebenaran menggunakan kunci peribadi yang berbeza. Sijil yang kelihatan dalam sesi anda sendiri tidak berkata apa-apa tentang akaun perkhidmatan.

Kunci yang disokong perkakasan mungkin memerlukan penyedianya dan langkah pengesahan. Perkhidmatan yang tidak dapat memaparkan gesaan tidak akan diselamatkan dengan mengeksport kunci ke fail biasa.

Baca ralat setempat sebelum mengubah apa-apa. Kegagalan pemilihan, kegagalan penandatanganan dan penolakan pelayan ialah tiga hasil yang berbeza. Hanya dua yang pertama bersifat setempat. Yang ketiga bermaksud kunci berfungsi dan pelayan memutuskan menentang sijil itu.

Penggunaan setempat bukan penerimaan pelayan

Kejayaan setempat bukan kebenaran. Selepas klien menandatangani dengan kuncinya, pelayan masih menilai pengeluar, tetingkap kesahihan, peranan dan dasar aksesnya. Sijil lain daripada CA yang sama tidak membawa hak VPN yang sama secara automatik.

Pelayan memerlukan rantaian kepercayaan, bukan salinan kunci peribadi klien. Menghantar kunci kepada pelayan tidak pernah menjadi pembaikan masalah pengesahan.

Tangani kegagalan mengikut urutan

Simpan teks ralat yang tepat. Ketiadaan kebenaran kunci tidak sepatutnya menjadi perubahan CA, dan penolakan pelayan tidak sepatutnya menjadi pembaikan stor. Setiap satu mempunyai buktinya sendiri.

Bekerja mengikut urutan kegagalan muncul: pemilih, kunci, akaun, kemudian dasar pelayan. Rujukan klien komuniti mendokumenkan pemilih stor Windows untuk versi yang anda jalankan.