AWS Client VPN: iċ-ċertifikat tas-server u l-irwol taċ-ċertifikat tal-klijent
Iċ-ċertifikat tas-server tal-endpoint jipprova s-servizz. L-awtentikazzjoni reċiproka żżid identitajiet għal kull klijent u fiduċja fis-CA mingħajr ma taqsam iċ-ċavetta tas-server.
Endpoint ta' Client VPN dejjem jeħtieġ ċertifikat TLS tas-server. Din hija l-identità li l-endpoint amministrat jippreżenta meta klijent jikkonnettja. Huwa oġġett differenti miċ-ċertifikati li jippreżentaw il-klijenti individwali meta tintuża l-awtentikazzjoni reċiproka. Li tħallat it-tnejn hija l-aktar raġuni komuni għaliex konfigurazzjoni ACM li hija korretta mod ieħor xorta tfalli fl-ewwel konnessjoni.
Hawnhekk hija prestazzjoni mill-konsol 'il barra, fl-ordni li konnessjoni tassew tgħaddi minnha.
Żewġ irwoli, endpoint wieħed
L-endpoint għandu identità tas-server u, b'mod fakultattiv, mod kif jivverifika l-identitajiet tal-klijenti. Dawn jiġu kkonfigurati b'mod separat. Waħda tiddeċiedi jekk il-klijent jistax jafda s-servizz; l-oħra tiddeċiedi jekk is-servizz jaċċettax il-klijent.
| Material | Purpose | Where it lives |
|---|---|---|
| Server certificate and private key | The managed endpoint proves its TLS identity | ACM, in the endpoint's Region |
| Client certificate and matching key | An individual client proves its identity | On the device |
| CA trust material | The verifier checks the issuer chain | Selected for the client role |
Aqra t-tabella bħala tliet rekwiżiti indipendenti minflok bħala ċertifikat wieħed. Iċ-ċertifikat tas-server u ċ-ċavetta privata tiegħu jibqgħu mas-servizz. Čertifikat tal-klijent u ċ-ċavetta privata li taqbel miegħu jgħixu fuq l-apparat. Il-materjal tas-CA huwa dak li juża verifikatur biex jiċċekkja l-katina. Biss ir-ringiela tan-nofs tappartjeni qatt lil laptop.
X'jagħmel iċ-ċertifikat tas-server ACM
Meta toħloq l-endpoint, iċ-ċertifikat tas-server irid ikun disponibbli f'ACM fl-istess Reġjun tal-endpoint. Il-konsol titlob ARN, u dak l-ARN irid jiġi riżolt hemmhekk. ACM tista' żżomm ċertifikat li pprovdajt b'validazzjoni tad-dominju, jew wieħed li importajt flimkien maċ-ċavetta u l-katina tiegħu. It-tnejn jaħdmu f'dan l-irwol; huma differenti fit-tiġdid u f'min għandu ċ-ċavetta privata.
Agħżel it-triq tal-provvista li taqbel ma' min jista' jġedded iċ-ċertifikat, mhux dik li kienet każwali li pproduċiet fajl li jidher validu.
X'iżżid l-awtentikazzjoni reċiproka
L-għażla ta' awtentikazzjoni tal-klijent ibbażata fuq iċ-ċertifikat iżżid tieni mistoqsija: liema klijenti jistgħu jikkonnettjaw. Kull klijent jippreżenta ċ-ċertifikat tiegħu u jipprova li għandu ċ-ċavetta privata li taqbel. L-identitajiet separati huma dak li jagħmel possibbli aktar tard ir-revoka selettiva. L-ikkupjar ta' ċavetta waħda tal-klijent fuq kull apparat jarmi dik il-proprjetà bil-kwiet, anke meta ċ-ċertifikat tas-server inkiseb perfettament.
Il-metodu ta' awtentikazzjoni tal-endpoint hija għażla, mhux rekwiżit universali.
Active Directory u awtentikazzjoni federali jwieġbu l-istess mistoqsija b'mezzi oħra. Riċetta ta' ċertifikat reċiproku mhijiex awtomatikament id-disinn tal-login għal dawk l-implimentazzjonijiet, u l-verifika TLS tas-server tibqa' fis-seħħ irrispettivament minn kif jiddaħħal l-utent.
Għalfejn l-istess ARN tas-CA mhuwiex qsim ta' ċavetti
AWS tiddokumenta li meta ċ-ċertifikati tas-server u tal-klijent jinħarġu mill-istess CA, l-ARN taċ-ċertifikat tas-server jista' jintuża wkoll għall-għażla taċ-ċertifikat tal-klijent. Dik is-sentenza hija dwar liema katina l-endpoint jafda għall-verifika. Ma tgħidx lill-klijenti jużaw iċ-ċavetta privata tas-server. Laptop xorta jeħtieġ iċ-ċertifikat tal-klijent tiegħu u ċ-ċavetta li taqbel tiegħu.
Meta s-CA tal-klijent hija emittent differenti, it-triq dokumentata hija li timporta dik is-CA f'ACM u tagħżilha għall-irwol tal-klijent.
Erġa' lura l-falliment għal stadju
Identifika liema stadju qed ifalli qabel ma tissostitwixxi xejn. Jekk il-klijent jirrifjuta l-endpoint, l-ARN tas-server jew il-katina tiegħu huwa s-suspettat. Jekk l-endpoint jirrifjuta l-klijent, ħares lejn iċ-ċertifikat tal-klijent, l-emittent tiegħu u l-metodu ta' awtentikazzjoni magħżul. Jekk il-mina titla' u t-traffiku xorta jfalli, inti diġà għaddejt miċ-ċertifikati.
Sostitwixxi oġġett wieħed kull darba, għax li tbiddel iż-żewġ trufijiet flimkien tirriproduċi l-ambigwità li bdejt biha.
Iċċekkja wkoll l-algoritmi taċ-ċavetta appoġġjati u l-estensjonijiet meħtieġa tas-servizz għall-irwol speċifiku. Čertifikat li jissodisfa sit web pubbliku mhuwiex prova li r-rekwiżiti kollha tal-identità ta' Client VPN ġew sodisfatti.
Ikteb liema ARN iżżomm kull qasam, liema CA ħarġet iċ-ċertifikat tal-klijent u liema metodu ta' awtentikazzjoni l-endpoint tassew juża. Tliet linji ta' rekord jibdlu t-tiġdid li jmiss f'kompitu minflok investigazzjoni.