AWS Client VPN: certificatul de server și rolul certificatului de client
Certificatul de server al endpointului dovedește serviciul. Autentificarea mutuală adaugă identități per client și încredere în CA fără a partaja cheia serverului.
Un endpoint Client VPN are întotdeauna nevoie de un certificat TLS de server. Aceasta este identitatea pe care endpointul gestionat o prezintă atunci când un client se conectează. Este un obiect diferit de certificatele pe care le prezintă clienții individuali atunci când se folosește autentificarea mutuală. Confundarea celor două este cel mai frecvent motiv pentru care o configurație ACM altfel corectă eșuează totuși la prima conexiune.
Iată o trecere de la consolă spre exterior, în ordinea în care o conexiune parcurge într-adevăr.
Două roluri, un endpoint
Endpointul deține o identitate de server și, opțional, o modalitate de a verifica identitățile clienților. Acestea se configurează separat. Unul decide dacă clientul poate avea încredere în serviciu; celălalt decide dacă serviciul acceptă clientul.
| Material | Purpose | Where it lives |
|---|---|---|
| Server certificate and private key | The managed endpoint proves its TLS identity | ACM, in the endpoint's Region |
| Client certificate and matching key | An individual client proves its identity | On the device |
| CA trust material | The verifier checks the issuer chain | Selected for the client role |
Citiți tabelul ca trei cerințe independente, nu ca un singur certificat. Certificatul de server și cheia sa privată rămân la serviciu. Un certificat de client și cheia privată corespunzătoare se află pe dispozitiv. Materialul CA este ceea ce folosește un verificator pentru a controla lanțul. Doar rândul din mijloc aparține vreodată unui laptop.
Ce face certificatul de server ACM
Când creați endpointul, certificatul de server trebuie să fie disponibil în ACM în aceeași regiune ca endpointul. Consola cere un ARN, iar acel ARN trebuie să se rezolve acolo. ACM poate păstra un certificat pe care l-ați furnizat cu validare de domeniu sau unul pe care l-ați importat împreună cu cheia și lanțul. Ambele funcționează în acest rol; diferă la reînnoire și în privința cine deține cheia privată.
Alegeți calea de furnizare care corespunde cine poate reînnoi certificatul, nu cea care a produs din întâmplare un fișier cu aspect valid.
Ce adaugă autentificarea mutuală
Selectarea autentificării clienților pe bază de certificat adaugă o a doua întrebare: ce clienți se pot conecta. Fiecare client își prezintă propriul certificat și dovedește deținerea cheii private corespunzătoare. Identitățile separate sunt cele care fac posibilă mai târziu o revocare selectivă. Copierea unei chei de client pe fiecare dispozitiv aruncă în tăcere această proprietate, chiar și atunci când certificatul de server a fost obținut perfect.
Metoda de autentificare a endpointului este o alegere, nu o cerință universală.
Active Directory și autentificarea federată răspund aceleiași întrebări prin alte mijloace. O rețetă cu certificat mutual nu este automat proiectul de autentificare pentru acele implementări, iar verificarea TLS a serverului rămâne valabilă indiferent de modul în care utilizatorul este admis.
De ce același ARN de CA nu este partajare de chei
AWS documentează că, atunci când certificatele de server și de client sunt emise de aceeași CA, ARN-ul certificatului de server poate fi folosit și pentru selecția certificatului de client. Acea frază se referă la lanțul în care endpointul are încredere la verificare. Nu le spune clienților să folosească cheia privată a serverului. Un laptop are în continuare nevoie de propriul certificat de client și de propria cheie corespunzătoare.
Când CA a clientului este un emitent diferit, calea documentată este să importați acea CA în ACM și să o selectați pentru rolul de client.
Duceți defecțiunea înapoi la o etapă
Stabiliți care etapă eșuează înainte de a înlocui ceva. Dacă clientul respinge endpointul, ARN-ul serverului sau lanțul său este suspectul. Dacă endpointul respinge clientul, priviți certificatul de client, emitentul și metoda de autentificare aleasă. Dacă tunelul urcă și traficul tot eșuează, ați trecut de certificate.
Înlocuiți un singur obiect odată, deoarece schimbarea ambelor capete simultan reproduce ambiguitatea cu care ați început.
Verificați și algoritmii de cheie acceptați și extensiile cerute de serviciu pentru rolul respectiv. Un certificat care satisface un site web public nu este dovada că toate cerințele de identitate Client VPN au fost îndeplinite.
Notați ce ARN conține fiecare câmp, ce CA a emis certificatul de client și ce metodă de autentificare folosește endpointul de fapt. Trei linii de evidență transformă următoarea reînnoire într-o sarcină în loc de o investigație.