Sertifikatet er synlig i Windows, men OpenVPN kan ikke bruke nøkkelen

Sertifikatet er synlig i Windows-sertifikatviseren, og klienten kan fortsatt ikke bruke det. Å se et sertifikat beviser bare at det finnes et offentlig objekt i et lager. Det beviser ikke at tilkoblingsprosessen finner den tilhørende private nøkkelen, eller at den har lov til å bruke den.

Tre objekter må stemme overens. Det valgte sertifikatet, den private nøkkelen bak det og kontoen klienten kjører under er forskjellige ting, og hver av dem kan svikte på egen hånd.

Tre objekter, tre svar

Fellesskapsversjonen av OpenVPN på Windows dokumenterer en CryptoAPI-lagervelger, cryptoapicert, som tar et fingeravtrykk. Verdien må peke på sertifikatet du faktisk vil bruke, ikke et med et lignende navn. Andre OpenVPN-baserte programmer kan ha en helt annen importmodell, så velgeren er bare bevis for den byggingen som dokumenterer den. Bekreft at klienten din implementerer mekanismen før du feilsøker noe lenger ned.

Hvis byggingen ikke støtter velgeren, er løsningen et annet profilformat, ikke et annet sertifikat.

Fører velgeren til riktig identitet

Et offentlig sertifikat kan importeres uten sin private nøkkel. Viseren viser det i begge tilfeller, og derfor ser denne feilen ut som om klienten ignorerer et sertifikat som tydelig er der. Kontroller nøkkeltilknytningen, ikke bare om oppføringen finnes.

Et fornyet sertifikat legger til en andre felle. Begge oppføringene kan bli liggende i lageret mens profilen fortsatt nevner det eldre fingeravtrykket, og klienten velger stadig identiteten du ville fase ut.

Kontroller hvilken identitet velgeren fører til før du ser på tillatelser. Et feil fingeravtrykk svikter på samme måte som en manglende nøkkel.

Kan denne kontoen bruke nøkkelen

Nøkkeltilgang er per konto. En tjeneste, en planlagt oppgave og en interaktiv skrivebordsøkt kan ha ulike lagervisninger og ulik tillatelse til å bruke en privat nøkkel. At sertifikatet er synlig i din egen økt sier ingenting om tjenestekontoen.

En maskinvarestøttet nøkkel kan trenge leverandøren sin og et bekreftelsestrinn. En tjeneste som ikke kan vise en forespørsel, blir ikke reddet av å eksportere nøkkelen til en vanlig fil.

Les den lokale feilen før du endrer noe. En valgfeil, en signeringsfeil og en avvisning fra serveren er tre forskjellige utfall. Bare de to første er lokale. Det tredje betyr at nøkkelen virket og at serveren bestemte seg mot sertifikatet.

Lokal bruk er ikke godkjenning fra serveren

Lokal suksess er ikke autorisasjon. Når klienten har signert med nøkkelen sin, vurderer serveren fortsatt utstederen, gyldighetsvinduet, rollen og sin egen tilgangspolicy. Et annet sertifikat fra samme CA gir ikke automatisk de samme VPN-rettighetene.

Serveren trenger tillitskjeden, ikke en kopi av klientens private nøkkel. Å sende nøkkelen til serveren er aldri reparasjonen for et verifiseringsproblem.

Arbeid deg gjennom feilen i rekkefølge

Ta vare på den nøyaktige feilteksten. En manglende nøkkeltillatelse bør ikke bli en CA-endring, og en avvisning fra serveren bør ikke bli en lagerreparasjon. Hver av dem har sine egne bevis.

Arbeid i den rekkefølgen feilen viser seg: velger, nøkkel, konto og deretter serverpolicy. Fellesskapets klientreferanse dokumenterer Windows-lagervelgeren for versjonen du kjører.