Sertifikatet er synleg i Windows, men OpenVPN kan ikkje bruke nøkkelen

Sertifikatet er synleg i Windows-sertifikatvisinga, og klienten kan framleis ikkje bruke det. Å sjå eit sertifikat bevisar berre at det finst eit offentleg objekt i eit lager. Det bevisar ikkje at tilkoplingsprosessen finn den tilhøyrande private nøkkelen, eller at han har lov til å bruke han.

Tre objekt må stemme overeins. Det valde sertifikatet, den private nøkkelen bak det og kontoen klienten køyrer under er ulike ting, og kvar av dei kan svikte på eiga hand.

Tre objekt, tre svar

Fellesskapsversjonen av OpenVPN på Windows dokumenterer ein CryptoAPI-lagerveljar, cryptoapicert, som tek eit fingeravtrykk. Verdien må peike på sertifikatet du faktisk vil bruke, ikkje eit med eit liknande namn. Andre OpenVPN-baserte program kan ha ein heilt annan importmodell, så veljaren er berre prov for den bygginga som dokumenterer han. Stadfest at klienten din implementerer mekanismen før du feilsøkjer noko lenger ned.

Viss bygginga ikkje støttar veljaren, er løysinga eit anna profilformat, ikkje eit anna sertifikat.

Fører veljaren til rett identitet

Eit offentleg sertifikat kan importerast utan sin private nøkkel. Visinga viser det i begge tilfelle, og difor ser denne feilen ut som om klienten ignorerer eit sertifikat som tydeleg er der. Kontroller nøkkeltilknytinga, ikkje berre om oppføringa finst.

Eit fornya sertifikat legg til ei andre felle. Begge oppføringane kan bli liggjande i lageret medan profilen framleis nemner det eldre fingeravtrykket, og klienten vel framleis identiteten du ville fase ut.

Kontroller kva identitet veljaren fører til før du ser på løyve. Eit feil fingeravtrykk sviktar på same måte som ein manglande nøkkel.

Kan denne kontoen bruke nøkkelen

Nøkkeltilgang er per konto. Ein teneste, ein planlagd oppgåve og ei interaktiv skrivebordsøkt kan ha ulike lagervisingar og ulikt løyve til å bruke ein privat nøkkel. At sertifikatet er synleg i di eiga økt seier ingenting om tenestekontoen.

Ein maskinvarestøtta nøkkel kan trenge leverandøren sin og eit stadfestingstrinn. Ein teneste som ikkje kan vise ei førespurnad, blir ikkje redda av å eksportere nøkkelen til ei vanleg fil.

Les den lokale feilen før du endrar noko. Ein valfeil, ein signeringsfeil og ei avvising frå tenaren er tre ulike utfall. Berre dei to første er lokale. Det tredje tyder at nøkkelen verka og at tenaren bestemte seg mot sertifikatet.

Lokal bruk er ikkje godkjenning frå tenaren

Lokal suksess er ikkje autorisasjon. Når klienten har signert med nøkkelen sin, vurderer tenaren framleis utferdaren, gyldigheitsvindauget, rolla og sin eigen tilgangspolicy. Eit anna sertifikat frå same CA gir ikkje automatisk dei same VPN-rettane.

Tenaren treng tillitskjeda, ikkje ein kopi av den private nøkkelen til klienten. Å sende nøkkelen til tenaren er aldri reparasjonen for eit verifiseringsproblem.

Arbeid deg gjennom feilen i rekkefølgje

Ta vare på den nøyaktige feilteksten. Eit manglande nøkkelløyve bør ikkje bli ei CA-endring, og ei avvising frå tenaren bør ikkje bli ein lagerreparasjon. Kvar av dei har sine eigne prov.

Arbeid i den rekkefølgja feilen viser seg: veljar, nøkkel, konto og deretter tenarpolicy. Fellesskapets klientreferanse dokumenterer Windows-lagerveljaren for versjonen du køyrer.