Certyfikat jest widoczny w Windows, ale OpenVPN nie może użyć jego klucza

Certyfikat jest widoczny w przeglądarce certyfikatów Windows, a klient nadal nie może go użyć. Widok certyfikatu dowodzi tylko, że w magazynie istnieje obiekt publiczny. Nie dowodzi, że proces połączenia znajdzie pasujący klucz prywatny ani że ma prawo go użyć.

Trzy obiekty muszą się zgadzać. Wybrany certyfikat, stojący za nim klucz prywatny i konto, na którym działa klient, to odrębne rzeczy, a każda z nich może zawieść samodzielnie.

Trzy obiekty, trzy odpowiedzi

Wersja społecznościowa OpenVPN w Windows dokumentuje selektor magazynu CryptoAPI, cryptoapicert, który przyjmuje odcisk. Wartość musi wskazywać certyfikat, który naprawdę zamierzasz użyć, a nie inny o podobnej nazwie. Inne aplikacje oparte na OpenVPN mogą mieć zupełnie inny model importu, więc selektor jest dowodem tylko dla tej kompilacji, która go dokumentuje. Potwierdź, że twój klient implementuje ten mechanizm, zanim zaczniesz cokolwiek debugować niżej.

Jeśli kompilacja nie obsługuje selektora, rozwiązaniem jest inny format profilu, a nie inny certyfikat.

Czy selektor prowadzi do właściwej tożsamości

Certyfikat publiczny można zaimportować bez jego klucza prywatnego. Przeglądarka pokazuje go w obu przypadkach i dlatego ta awaria wygląda tak, jakby klient ignorował certyfikat, który wyraźnie jest na miejscu. Sprawdź powiązanie z kluczem, a nie tylko obecność wpisu.

Odnowiony certyfikat dodaje drugą pułapkę. Oba wpisy mogą leżeć w magazynie, podczas gdy profil nadal wskazuje starszy odcisk, a klient wciąż wybiera tożsamość, którą chciałeś wycofać.

Zanim spojrzysz na uprawnienia, sprawdź, do której tożsamości prowadzi selektor. Błędny odcisk zawodzi tak samo jak brakujący klucz.

Czy to konto może użyć klucza

Dostęp do klucza jest na konto. Usługa, zaplanowane zadanie i interaktywna sesja pulpitu mogą mieć różne widoki magazynu i różne uprawnienia do używania klucza prywatnego. To, że certyfikat widać w twojej własnej sesji, nic nie mówi o koncie usługi.

Klucz oparty na sprzęcie może wymagać swojego dostawcy i kroku potwierdzenia. Usługa, która nie może pokazać monitu, nie zostanie uratowana przez wyeksportowanie klucza do zwykłego pliku.

Przeczytaj lokalny błąd, zanim cokolwiek zmienisz. Niepowodzenie wyboru, niepowodzenie podpisu i odrzucenie przez serwer to trzy różne wyniki. Tylko dwa pierwsze są lokalne. Trzeci oznacza, że klucz zadziałał, a serwer zdecydował przeciw certyfikatowi.

Użycie lokalne nie jest akceptacją serwera

Lokalny sukces nie jest upoważnieniem. Gdy klient podpisze swoim kluczem, serwer nadal ocenia wystawcę, okno ważności, rolę i swoją politykę dostępu. Inny certyfikat z tej samej CA nie niesie automatycznie tych samych praw VPN.

Serwer potrzebuje łańcucha zaufania, a nie kopii klucza prywatnego klienta. Wysyłanie klucza na serwer nigdy nie jest naprawą problemu weryfikacji.

Rozpracuj awarię po kolei

Zachowaj dokładny tekst błędu. Brak uprawnienia do klucza nie powinien stać się zmianą CA, a odrzucenie przez serwer nie powinno stać się naprawą magazynu. Każdy ma własne dowody.

Pracuj w kolejności, w jakiej awaria się pojawia: selektor, klucz, konto, a potem polityka serwera. Dokumentacja klienta społeczności opisuje selektor magazynu Windows dla używanej wersji.