AWS Client VPN: servercertifikat kontra rolla til klientcertifikatet

Eit Client VPN-endepunkt treng alltid eit TLS-servercertifikat. Det er identiteten det styrte endepunktet viser fram når ein klient koplar til. Det er eit anna objekt enn sertifikata som individuelle klientar viser fram når gjensidig autentisering blir brukt. Å blande dei to er den vanlegaste årsaka til at eit elles korrekt ACM-oppsett likevel feilar ved den første tilkoplinga.

Her er ein gjennomgang frå konsollen og utover, i den rekkjefølgja ei tilkopling faktisk går.

To roller, eitt endepunkt

Endepunktet eig ein serveridentitet og, valfritt, ein måte å verifisere klientidentitetar på. Desse blir konfigurerte kvar for seg. Den eine avgjer om klienten kan stole på tenesta; den andre avgjer om tenesta godtek klienten.

Les tabellen som tre uavhengige krav i staden for som eitt sertifikat. Servercertifikatet og den private nøkkelen blir hos tenesta. Eit klientcertifikat og den tilhøyrande private nøkkelen ligg på eininga. CA-materialet er det ein verifiserar brukar for å kontrollere kjeda. Berre den midtre rada høyrer nokon gong heime på ein laptop.

Kva ACM-servercertifikatet gjer

Når du opprettar endepunktet, må servercertifikatet vere tilgjengeleg i ACM i same region som endepunktet. Konsollen ber om ein ARN, og den ARN-en må kunne slåast opp der. ACM kan innehalde eit sertifikat du har skaffa med domenebekrefting, eller eit du har importert saman med nøkkelen og kjeda. Begge fungerer i denne rolla; dei skil seg i fornying og i kven som har den private nøkkelen.

Vel anskaffingsvegen som passar til kven som kan fornye sertifikatet, ikkje den som tilfeldigvis produserte ei fil som ser gyldig ut.

Kva gjensidig autentisering legg til

Å velje sertifikatbasert klientautentisering legg til eit andre spørsmål: kva klientar som i det heile får kople til. Kvar klient viser fram sitt eige sertifikat og provar at han har den tilhøyrande private nøkkelen. Separate identitetar er det som gjer selektiv tilbakekalling mogleg seinare. Å kopiere éin klientnøkkel til kvar eining kastar den eigenskapen stille bort, sjølv når servercertifikatet er anskaffa perfekt.

Autentiseringsmetoden til endepunktet er eit val, ikkje eit universelt krav.

Active Directory og føderert autentisering svarar på same spørsmål på andre måtar. Ei oppskrift med gjensidige sertifikat er ikkje automatisk påloggingsdesignet for desse utrullingane, og TLS-verifiseringa til serveren blir ståande uansett korleis brukaren blir sleppt inn.

Kvifor same CA-ARN ikkje er nøkkeldeling

AWS dokumenterer at når server- og klientcertifikata er utstade av same CA, kan ARN-en til servercertifikatet også brukast til val av klientcertifikat. Den setninga handlar om kva kjede endepunktet stolar på ved verifisering. Ho seier ikkje til klientar at dei skal bruke den private nøkkelen til serveren. Ein laptop treng framleis sitt eige klientcertifikat og sin eigen tilhøyrande nøkkel.

Når CA-en til klienten er ein annan utstedar, er den dokumenterte vegen å importere den CA-en til ACM og velje han for klientrolla.

Spor feilen tilbake til eit trinn

Finn ut kva trinn som feilar før du byter ut noko. Viss klienten avviser endepunktet, er ARN-en til serveren eller kjeda mistenkt. Viss endepunktet avviser klienten, sjå på klientcertifikatet, utstedaren og den valde autentiseringsmetoden. Viss tunnelen kjem opp og trafikken framleis feilar, har du passert sertifikata.

Byt ut eitt objekt om gongen, fordi å bytte begge endar samtidig gjer om att tvitydigheita du starta med.

Kontroller også dei støtta nøkkelalgoritmane til tenesta og påkravde utvidingar for den aktuelle rolla. Eit sertifikat som tilfredsstiller ein offentleg nettstad er ikkje prov på at alle identitetskrava for Client VPN er oppfylte.

Skriv ned kva ARN kvart felt inneheld, kva CA som utstadde klientcertifikatet, og kva autentiseringsmetode endepunktet faktisk brukar. Tre linjer dokumentasjon gjer neste fornying til ei oppgåve i staden for ei etterforsking.