AWS Client VPN: certificado de servidor versus o papel do certificado de cliente
O certificado de servidor do endpoint prova o serviço. A autenticação mútua acrescenta identidades por cliente e confiança na CA sem partilhar a chave do servidor.
Um endpoint de Client VPN precisa sempre de um certificado TLS de servidor. Essa é a identidade que o endpoint gerido apresenta quando um cliente se liga. É um objeto diferente dos certificados que os clientes individuais apresentam quando é usada autenticação mútua. Confundir os dois é a razão mais comum para que uma configuração de ACM de resto correta continue a falhar na primeira ligação.
Eis um percurso da consola para fora, na ordem que uma ligação realmente atravessa.
Dois papéis, um endpoint
O endpoint possui uma identidade de servidor e, opcionalmente, uma forma de verificar identidades de clientes. Estes elementos configuram-se separadamente. Um decide se o cliente pode confiar no serviço; o outro decide se o serviço aceita o cliente.
| Material | Purpose | Where it lives |
|---|---|---|
| Server certificate and private key | The managed endpoint proves its TLS identity | ACM, in the endpoint's Region |
| Client certificate and matching key | An individual client proves its identity | On the device |
| CA trust material | The verifier checks the issuer chain | Selected for the client role |
Leia a tabela como três requisitos independentes em vez de um único certificado. O certificado de servidor e a sua chave privada ficam com o serviço. Um certificado de cliente e a chave privada correspondente vivem no dispositivo. O material da CA é o que um verificador usa para verificar a cadeia. Só a linha central pertence alguma vez a um portátil.
O que faz o certificado de servidor da ACM
Ao criar o endpoint, o certificado de servidor tem de estar disponível na ACM na mesma região do endpoint. A consola pede um ARN, e esse ARN tem de ser resolvido ali. A ACM pode guardar um certificado que aprovisionou com validação de domínio, ou um que importou juntamente com a chave e a cadeia. Ambos funcionam neste papel; diferem na renovação e em quem detém a chave privada.
Escolha o caminho de aprovisionamento que corresponde a quem pode renovar o certificado, não o que por acaso produziu um ficheiro com aparência válida.
O que acrescenta a autenticação mútua
Selecionar autenticação de cliente baseada em certificados acrescenta uma segunda pergunta: que clientes podem sequer ligar-se. Cada cliente apresenta o seu próprio certificado e prova possuir a chave privada correspondente. São as identidades separadas que tornam possível mais tarde uma revogação seletiva. Copiar uma chave de cliente para cada dispositivo descarta silenciosamente essa propriedade, mesmo quando o certificado de servidor foi obtido na perfeição.
O método de autenticação do endpoint é uma escolha, não um requisito universal.
O Active Directory e a autenticação federada respondem à mesma pergunta por outros meios. Uma receita de certificado mútuo não é automaticamente o desenho de início de sessão para essas implementações, e a verificação TLS do servidor mantém-se independentemente da forma como o utilizador é admitido.
Porque o mesmo ARN de CA não é partilha de chaves
A AWS documenta que, quando os certificados de servidor e de cliente são emitidos pela mesma CA, o ARN do certificado de servidor também pode ser usado para a seleção do certificado de cliente. Essa frase diz respeito à cadeia em que o endpoint confia para a verificação. Não diz aos clientes para usarem a chave privada do servidor. Um portátil continua a precisar do seu próprio certificado de cliente e da sua própria chave correspondente.
Quando a CA do cliente é um emissor diferente, o caminho documentado é importar essa CA para a ACM e selecioná-la para o papel de cliente.
Recuar a falha até uma etapa
Identifique que etapa está a falhar antes de substituir seja o que for. Se o cliente rejeita o endpoint, o ARN do servidor ou a sua cadeia são os suspeitos. Se o endpoint rejeita o cliente, observe o certificado de cliente, o seu emissor e o método de autenticação escolhido. Se o túnel sobe e o tráfego continua a falhar, já passou dos certificados.
Substitua um objeto de cada vez, porque trocar as duas pontas ao mesmo tempo reproduz a ambiguidade com que começou.
Verifique também os algoritmos de chave suportados e as extensões exigidas do serviço para o papel concreto. Um certificado que satisfaz um sítio web público não é prova de que todos os requisitos de identidade do Client VPN foram cumpridos.
Anote que ARN contém cada campo, que CA emitiu o certificado de cliente e que método de autenticação o endpoint usa realmente. Três linhas de registo transformam a próxima renovação numa tarefa em vez de uma investigação.