Hvilken CA-fil hører i en OpenVPN-profil med bare passord?

Gå gjennom fire spørsmål i rekkefølge, og CA-dialogen slutter å være tvetydig. Hvilket materiale utstedte operatøren egentlig, hva inneholder profilen allerede, hvilket felt spør, og hva skjer etter at filen er lastet inn? Stopp ved det første spørsmålet du ikke kan svare på ut fra operatørens egne instruksjoner, for å gjette videre er nettopp måten et offentlig CA-sertifikat ender opp med å bli paret med en privat nøkkel som aldri skulle ha forlatt serveren.

Rekkefølgen betyr noe: de to siste spørsmålene gir bare mening når du vet hvilket materiale som skal finnes.

Begynn med det profilen allerede inneholder

Åpne profilen i en tekstredigerer og se etter en ca-blokk før du ser etter en fil. En innebygd ca-blokk med operatørens offentlige CA betyr at profilen er selvstendig, og en klient som fortsatt ber om en CA-fil, leser kanskje en annen profil eller en ufullstendig import. Hvis profilen i stedet har en ca-linje som peker til en bane, er den banen relativ til klientens arbeidskatalog i noen integrasjoner og absolutt i andre. Noter hvilken form du har før du endrer noe.

ca /absolute/path/operator-ca.crt
auth-user-pass
remote-cert-tls server

Kontroller den leverte pakken for filene profilen viser til: et CA-sertifikat, noen ganger et separat klientcertifikat og en nøkkel, og muligens en tls-auth- eller tls-crypt-fil. En profil som viser til fire filer, men ankommer med to, er ufullstendig, og ingen mengde feltpeking reparerer det. Be operatøren om den manglende delen i stedet for å erstatte den med et sertifikat du tilfeldigvis har.

Skill fire typer materiale

CA-sertifikatet er offentlig materiale som brukes til å verifisere serverens identitet. Et klientcertifikat identifiserer brukeren eller enheten overfor serveren. En privat nøkkel er den hemmelige halvdelen av dette klientcertifikatet, og den må aldri være CA-ens signeringsnøkkel eller en servernøkkel. tls-auth- eller tls-crypt-materiale er en egen delt hemmelighet som beskytter kontrollkanalen. Disse fire er ikke utbyttbare, og å peke CA-feltet mot et klientcertifikat gir en verifiseringsfeil som ser ut som et tillitsproblem.

Autentisering med bare passord endrer hvilken av de fire du trenger, ikke hva de betyr. Med auth-user-pass og remote-cert-tls server verifiserer klienten fortsatt serveren mot en CA, og derfor vises CA-feltet selv når det ikke finnes noe klientcertifikat. Operatørens policy avgjør om et klientcertifikat også kreves, og ingen dialog kan fortelle deg det.

Pek klienten mot tillitsfilen

Velg selve CA-sertifikatfilen, ikke mappen som inneholder den, og ikke en .p12-pakke som inneholder en klientidentitet. På Windows oppfører banesyntaksen og filvelgeren seg annerledes enn Linux-eksemplene i de fleste veiledninger, så bruk det den installerte klienten godtar, og bekreft at filen er lesbar for kontoen som kjører den. Et tillatelsesproblem og en manglende fil ser like ut i dialogen, men gir forskjellige logglinjer. Åpne profilinnstillingene på nytt etter valget for å bekrefte at klienten beholdt valget.

<ca>
-----BEGIN CERTIFICATE-----
...operator-provided public CA...
-----END CERTIFICATE-----
</ca>

Hvis klienten støtter innebygde blokker, foretrekk operatørens innebygde profil fremfor en håndsamlet. Innebygd materiale reiser med profilen og overlever ny import, mens en absolutt bane brytes i det øyeblikket profilen flyttes til en annen maskin.

Les den neste feilen, ikke den samme

Poenget med å levere riktig CA er å endre feilen, ikke å få den til å forsvinne. En serveridentitetsfeil etter at CA-en er lastet, betyr at sertifikatet ikke samsvarte med det forventede navnet eller remote-cert-tls-forventningen, noe som er en annen reparasjon enn en passordavvisning. En passordavvisning betyr at TLS-laget lyktes og at påloggingsinformasjonen er feil. Behold den første nye meldingen; den er den nyttige.

En klient som kobler til, men ikke når noe, har gått helt forbi tillit og står nå overfor et ruting- eller DNS-spørsmål.

Deaktiver aldri verifiseringen for å komme forbi den dialogen. En klient som godtar ethvert sertifikat, har ingen grunn til å spørre om en CA, og tunnelen den bygger er ikke den operatøren mente.