Que ficheiro CA entra num perfil OpenVPN só com palavra-passe?

Percorra quatro perguntas por ordem e a caixa de diálogo CA deixa de ser ambígua. Que material emitiu o operador efetivamente, o que o perfil já contém, que campo está a perguntar e o que acontece depois de o ficheiro ser carregado? Pare na primeira pergunta que não conseguir responder com as instruções do próprio operador, porque adivinhar para lá é exatamente o caminho pelo qual um certificado CA público acaba emparelhado com uma chave privada que nunca deveria ter saído do servidor.

A ordem importa: as duas últimas perguntas só fazem sentido quando sabe que material deveria existir.

Comece pelo que o perfil já contém

Abra o perfil num editor de texto e procure um bloco ca antes de procurar um ficheiro. Um bloco ca incorporado com o CA público do operador significa que o perfil é autossuficiente, e um cliente que ainda pede um ficheiro CA pode estar a ler outro perfil ou uma importação incompleta. Se o perfil tiver, em vez disso, uma linha ca que aponta para um caminho, esse caminho é relativo ao diretório de trabalho do cliente em algumas integrações e absoluto noutras. Anote que forma tem antes de alterar seja o que for.

ca /absolute/path/operator-ca.crt
auth-user-pass
remote-cert-tls server

Verifique o pacote entregue quanto aos ficheiros a que o perfil faz referência: um certificado CA, por vezes um certificado de cliente e uma chave separados, e possivelmente um ficheiro tls-auth ou tls-crypt. Um perfil que faz referência a quatro ficheiros e chega com dois está incompleto, e nenhuma quantidade de apontar campos o resolve. Peça ao operador a peça em falta em vez de a substituir por um certificado que tenha por acaso.

Separe quatro tipos de material

O certificado CA é material público usado para verificar a identidade do servidor. Um certificado de cliente identifica o utilizador ou o dispositivo perante o servidor. Uma chave privada é a metade secreta desse certificado de cliente, e nunca deve ser a chave de assinatura do CA nem uma chave de servidor. O material tls-auth ou tls-crypt é um segredo partilhado à parte que protege o canal de controlo. Estes quatro não são intermutáveis, e apontar o campo CA para um certificado de cliente produz uma falha de verificação que parece um problema de confiança.

Autenticação só com palavra-passe muda qual dos quatro precisa, não o que significam. Com auth-user-pass e remote-cert-tls server o cliente continua a verificar o servidor contra um CA, e é por isso que o campo CA aparece mesmo quando não existe certificado de cliente. É a política do operador que decide se também é exigido um certificado de cliente, e nenhuma caixa de diálogo lhe pode dizer isso.

Aponte o cliente para o ficheiro de confiança

Selecione o próprio ficheiro de certificado CA, não a pasta que o contém e não um pacote .p12 que contém uma identidade de cliente. No Windows a sintaxe dos caminhos e o seletor de ficheiros comportam-se de forma diferente dos exemplos Linux da maioria dos guias, por isso use o que o cliente instalado aceita e confirme que o ficheiro é legível pela conta que o executa. Um problema de permissões e um ficheiro ausente parecem iguais na caixa de diálogo mas produzem linhas de registo diferentes. Depois de selecionar, reabra as definições do perfil para confirmar que o cliente manteve a escolha.

<ca>
-----BEGIN CERTIFICATE-----
...operator-provided public CA...
-----END CERTIFICATE-----
</ca>

Se o cliente suportar blocos incorporados, prefira o perfil incorporado do operador a um montado à mão. O material incorporado viaja com o perfil e sobrevive à reimportação, enquanto um caminho absoluto quebra no momento em que o perfil se muda para outra máquina.

Leia o erro seguinte, não o mesmo

O objetivo de fornecer o CA correto é mudar o erro, não fazê-lo desaparecer. Uma falha de identidade do servidor depois de o CA carregar significa que o certificado não correspondia ao nome esperado nem à expectativa remote-cert-tls, o que é uma reparação diferente de uma rejeição de palavra-passe. Uma rejeição de palavra-passe significa que a camada TLS teve sucesso e que a credencial está errada. Guarde a primeira mensagem nova; é a útil.

Um cliente que se liga mas não alcança nada passou completamente a confiança e enfrenta agora uma questão de encaminhamento ou DNS.

Nunca desative a verificação para passar essa caixa de diálogo. Um cliente que aceita qualquer certificado não tem motivo para pedir um CA, e o túnel que constrói não é o que o operador pretendia.