Kva CA-fil høyrer i ein OpenVPN-profil med berre passord?

Gå gjennom fire spørsmål i rekkjefølgje, og CA-dialogen sluttar å vere tvitydig. Kva materiale gav operatøren eigentleg ut, kva inneheld profilen alt, kva felt spør, og kva skjer etter at fila er lasta inn? Stopp ved det første spørsmålet du ikkje kan svare på ut frå operatøren sine eigne instruksjonar, for å gjette vidare er nettopp måten eit offentleg CA-sertifikat endar opp med å bli para med ein privat nøkkel som aldri skulle ha forlate tenaren.

Rekkjefølgja har noko å seie: dei to siste spørsmåla gir berre meining når du veit kva materiale som skal finnast.

Byrje med det profilen alt inneheld

Opne profilen i ein teksthandsamar og sjå etter ei ca-blokk før du ser etter ei fil. Ei innebygd ca-blokk med den offentlege CA-en til operatøren betyr at profilen er sjølvstendig, og ein klient som framleis ber om ei CA-fil, les kanskje ein annan profil eller ein ufullstendig import. Viss profilen i staden har ei ca-linje som peikar til ein bane, er den banen relativ til arbeidskatalogen til klienten i nokre integrasjonar og absolutt i andre. Noter kva form du har før du endrar noko.

ca /absolute/path/operator-ca.crt
auth-user-pass
remote-cert-tls server

Kontroller den leverte pakken for filene profilen viser til: eit CA-sertifikat, nokre gonger eit separat klientcertifikat og ein nøkkel, og moglegvis ei tls-auth- eller tls-crypt-fil. Ein profil som viser til fire filer, men kjem med to, er ufullstendig, og inga mengd feltpeiking reparerer det. Be operatøren om den manglande delen i staden for å byte han ut med eit sertifikat du tilfeldigvis har.

Skil fire typar materiale

CA-sertifikatet er offentleg materiale som blir brukt til å stadfeste identiteten til tenaren. Eit klientcertifikat identifiserer brukaren eller eininga overfor tenaren. Ein privat nøkkel er den hemmelege halvdelen av dette klientcertifikatet, og han må aldri vere signeringsnøkkelen til CA-en eller ein tenarnøkkel. tls-auth- eller tls-crypt-materiale er ein eigen delt hemmelegheit som vernar kontrollkanalen. Desse fire er ikkje utbytbara, og å peike CA-feltet mot eit klientcertifikat gir ein stadfestingsfeil som ser ut som eit tillitsproblem.

Autentisering med berre passord endrar kva av dei fire du treng, ikkje kva dei tyder. Med auth-user-pass og remote-cert-tls server stadfester klienten framleis tenaren mot ein CA, og difor viser CA-feltet seg sjølv når det ikkje finst noko klientcertifikat. Operatøren sin policy avgjer om eit klientcertifikat òg er påkravd, og ingen dialog kan fortelje deg det.

Peik klienten mot tillitsfila

Vel sjølve CA-sertifikatfila, ikkje mappa som inneheld henne, og ikkje ein .p12-pakke som inneheld ein klientidentitet. På Windows oppfører banesyntaksen og filveljaren seg annleis enn Linux-døma i dei fleste rettleiarane, så bruk det den installerte klienten godtek, og stadfest at fila er lesbar for kontoen som køyrer han. Eit løyveproblem og ei manglande fil ser like ut i dialogen, men gir ulike logglínur. Opne profilinnstillingane på nytt etter valet for å stadfeste at klienten heldt på valet.

<ca>
-----BEGIN CERTIFICATE-----
...operator-provided public CA...
-----END CERTIFICATE-----
</ca>

Viss klienten støttar innebygde blokker, føretrekk den innebygde profilen til operatøren framfor ein handsett profil. Innebygd materiale reiser med profilen og overlever ny import, medan ein absolutt bane blir broten i det augneblinken profilen blir flytta til ein annan maskin.

Les den neste feilen, ikkje den same

Poenget med å levere rett CA er å endre feilen, ikkje å få han til å forsvinne. Ein tenaridentitetsfeil etter at CA-en er lasta, betyr at sertifikatet ikkje samsvarte med det venta namnet eller remote-cert-tls-ventinga, noko som er ein annan reparasjon enn ei passordavvising. Ei passordavvising betyr at TLS-laget lukkast og at påloggingsinformasjonen er feil. Ta vare på den første nye meldinga; ho er den nyttige.

Ein klient som koplar til, men ikkje når noko, har gått heilt forbi tillit og står no overfor eit ruting- eller DNS-spørsmål.

Deaktiver aldri stadfestinga for å kome forbi den dialogen. Ein klient som godtek eit kva sertifikat som helst, har inga grunn til å spørje om ein CA, og tunnelen han byggjer er ikkje den operatøren meinte.