Welk CA-bestand hoort in een OpenVPN-profiel met alleen een wachtwoord?

Doorloop vier vragen in volgorde en de CA-dialoog is niet langer dubbelzinnig. Welk materiaal heeft de operator werkelijk uitgegeven, wat bevat het profiel al, welk veld vraagt erom, en wat gebeurt er nadat het bestand is geladen? Stop bij de eerste vraag die u niet uit de instructies van de operator zelf kunt beantwoorden, want daarvoorbij gokken is precies hoe een openbaar CA-certificaat terechtkomt naast een persoonlijke sleutel die de server nooit had mogen verlaten.

De volgorde is belangrijk: de laatste twee vragen zijn pas zinvol als u weet welk materiaal er zou moeten zijn.

Begin met wat het profiel al bevat

Open het profiel in een teksteditor en zoek een ca-blok voordat u een bestand zoekt. Een ingebed ca-blok met de openbare CA van de operator betekent dat het profiel zelfvoorzienend is, en een client die nog om een CA-bestand vraagt, leest misschien een ander profiel of een onvolledige import. Heeft het profiel in plaats daarvan een ca-regel die naar een pad wijst, dan is dat pad bij sommige integraties relatief ten opzichte van de werkmap van de client en bij andere absoluut. Noteer welke vorm u hebt voordat u iets wijzigt.

ca /absolute/path/operator-ca.crt
auth-user-pass
remote-cert-tls server

Controleer het geleverde pakket op de bestanden waarnaar het profiel verwijst: een CA-certificaat, soms een apart clientcertificaat en een sleutel, en mogelijk een tls-auth- of tls-crypt-bestand. Een profiel dat naar vier bestanden verwijst maar met twee aankomt, is onvolledig, en geen enkele hoeveelheid veldaanwijzingen herstelt dat. Vraag de operator om het ontbrekende deel in plaats van het te vervangen door een certificaat dat u toevallig hebt.

Scheid vier soorten materiaal

Het CA-certificaat is openbaar materiaal dat wordt gebruikt om de identiteit van de server te verifiëren. Een clientcertificaat identificeert de gebruiker of het apparaat bij de server. Een persoonlijke sleutel is de geheime helft van dat clientcertificaat, en die mag nooit de ondertekeningssleutel van de CA of een serversleutel zijn. tls-auth- of tls-crypt-materiaal is een apart gedeeld geheim dat het besturingskanaal beschermt. Deze vier zijn niet uitwisselbaar, en het CA-veld op een clientcertificaat richten levert een verificatiefout op die op een vertrouwensprobleem lijkt.

Authenticatie met alleen een wachtwoord verandert welke van de vier u nodig hebt, niet wat ze betekenen. Met auth-user-pass en remote-cert-tls server verifieert de client de server nog steeds tegen een CA, daarom verschijnt het CA-veld ook als er geen clientcertificaat is. Het beleid van de operator bepaalt of een clientcertificaat ook vereist is, en geen enkele dialoog kan u dat vertellen.

Wijs de client naar het vertrouwensbestand

Selecteer het CA-certificaatbestand zelf, niet de map die het bevat en niet een .p12-bundel met een clientidentiteit. Op Windows gedragen de padsyntaxis en de bestandskiezer zich anders dan de Linux-voorbeelden in de meeste handleidingen, dus gebruik wat de geïnstalleerde client accepteert en bevestig dat het bestand leesbaar is voor het account dat het uitvoert. Een rechtenprobleem en een ontbrekend bestand zien er in de dialoog hetzelfde uit maar leveren andere logregels op. Open na de selectie de profielinstellingen opnieuw om te bevestigen dat de client de keuze heeft behouden.

<ca>
-----BEGIN CERTIFICATE-----
...operator-provided public CA...
-----END CERTIFICATE-----
</ca>

Als de client ingebedde blokken ondersteunt, geef dan de voorkeur aan het ingebedde profiel van de operator boven een handmatig samengesteld profiel. Ingebed materiaal reist mee met het profiel en overleeft herimport, terwijl een absoluut pad breekt op het moment dat het profiel naar een andere machine gaat.

Lees de volgende fout, niet dezelfde

Het doel van de juiste CA leveren is de fout veranderen, niet laten verdwijnen. Een serveridentiteitsfout nadat de CA is geladen betekent dat het certificaat niet overeenkwam met de verwachte naam of de remote-cert-tls-verwachting, wat een andere reparatie is dan een wachtwoordweigering. Een wachtwoordweigering betekent dat de TLS-laag is geslaagd en dat de inloggegevens onjuist zijn. Houd het eerste nieuwe bericht vast; dat is het nuttige.

Een client die verbindt maar niets bereikt, is het vertrouwen volledig voorbij en staat nu voor een routerings- of DNS-vraag.

Schakel verificatie nooit uit om die dialoog voorbij te komen. Een client die elk certificaat accepteert, heeft geen reden om een CA te vragen, en de tunnel die hij bouwt is niet degene die de operator bedoelde.