Certificaat zichtbaar in Windows, maar OpenVPN kan de sleutel niet gebruiken

Het certificaat is zichtbaar in de Windows-certificaatviewer, en de client kan het nog steeds niet gebruiken. Een certificaat zien bewijst alleen dat er een openbaar object in een archief bestaat. Het bewijst niet dat het verbindingsproces de bijbehorende persoonlijke sleutel vindt of die mag gebruiken.

Drie objecten moeten op elkaar aansluiten. Het gekozen certificaat, de persoonlijke sleutel erachter en het account waaronder de client draait zijn afzonderlijke dingen, en elk kan op zichzelf mislukken.

Drie objecten, drie antwoorden

De communityversie van OpenVPN op Windows documenteert een CryptoAPI-archiefkiezer, cryptoapicert, die een vingerafdruk aanneemt. De waarde moet het certificaat aanwijzen dat u echt wilt gebruiken, niet een met een vergelijkbare naam. Andere op OpenVPN gebaseerde toepassingen kunnen een heel ander importmodel hebben, dus de kiezer is alleen bewijs voor de build die hem documenteert. Bevestig dat uw client het mechanisme implementeert voordat u iets verderop debugt.

Als de build de kiezer niet ondersteunt, is de oplossing een ander profielformaat, niet een ander certificaat.

Wijst de kiezer naar de juiste identiteit

Een openbaar certificaat kan zonder zijn persoonlijke sleutel worden geïmporteerd. De viewer toont het in beide gevallen, en daarom lijkt deze fout erop dat de client een certificaat negeert dat er duidelijk is. Controleer de sleutelkoppeling, niet alleen het bestaan van de vermelding.

Een vernieuwd certificaat voegt een tweede valkuil toe. Beide vermeldingen kunnen in het archief blijven staan terwijl het profiel nog de oudere vingerafdruk noemt, en de client blijft de identiteit kiezen die u wilde uitfaseren.

Controleer naar welke identiteit de kiezer verwijst voordat u naar machtigingen kijkt. Een verkeerde vingerafdruk faalt net als een ontbrekende sleutel.

Kan dit account de sleutel gebruiken

Sleuteltoegang is per account. Een service, een geplande taak en een interactieve desktopsessie kunnen verschillende archiefweergaven en verschillende rechten hebben om een persoonlijke sleutel te gebruiken. Dat het certificaat in uw eigen sessie zichtbaar is, zegt niets over het serviceaccount.

Een door hardware ondersteunde sleutel heeft mogelijk zijn provider en een bevestigingsstap nodig. Een service die geen prompt kan tonen, wordt niet gered door de sleutel naar een gewoon bestand te exporteren.

Lees de lokale fout voordat u iets wijzigt. Een keuzefout, een ondertekeningsfout en een weigering van de server zijn drie verschillende uitkomsten. Alleen de eerste twee zijn lokaal. De derde betekent dat de sleutel werkte en dat de server tegen het certificaat besliste.

Lokaal gebruik is geen aanvaarding door de server

Lokaal succes is geen autorisatie. Nadat de client met zijn sleutel heeft ondertekend, beoordeelt de server nog steeds de uitgever, het geldigheidsvenster, de rol en zijn toegangsbeleid. Een ander certificaat van dezelfde CA draagt niet automatisch dezelfde VPN-rechten.

De server heeft de vertrouwensketen nodig, niet een kopie van de persoonlijke sleutel van de client. De sleutel naar de server sturen is nooit de reparatie van een verificatieprobleem.

Werk de fout in volgorde af

Bewaar de exacte fouttekst. Een ontbrekend sleutelrecht mag geen CA-wijziging worden, en een weigering van de server mag geen archiefherstel worden. Elk heeft zijn eigen bewijs.

Werk in de volgorde waarin de fout optreedt: kiezer, sleutel, account en dan serverbeleid. De community-clientreferentie documenteert de Windows-archiefkiezer voor de versie die u draait.