Ce fișier CA intră într-un profil OpenVPN doar cu parolă?

Parcurgeți patru întrebări în ordine și dialogul CA nu mai este ambiguu. Ce material a emis de fapt operatorul, ce conține deja profilul, care câmp întreabă și ce se întâmplă după încărcarea fișierului? Opriți-vă la prima întrebare la care nu puteți răspunde din instrucțiunile operatorului însuși, pentru că a ghici dincolo de ea este exact calea prin care un certificat CA public ajunge împerecheat cu o cheie privată care nu ar fi trebuit niciodată să părăsească serverul.

Ordinea contează: ultimele două întrebări au sens doar când știți ce material ar trebui să existe.

Începeți cu ce conține deja profilul

Deschideți profilul într-un editor de text și căutați un bloc ca înainte de a căuta un fișier. Un bloc ca încorporat care conține CA public al operatorului înseamnă că profilul este autonom, iar un client care încă cere un fișier CA poate citi alt profil sau o importare incompletă. Dacă profilul are în schimb o linie ca care indică o cale, acea cale este relativă la directorul de lucru al clientului în unele integrări și absolută în altele. Notați ce formă aveți înainte de a schimba ceva.

ca /absolute/path/operator-ca.crt
auth-user-pass
remote-cert-tls server

Verificați pachetul livrat pentru fișierele la care profilul face referire: un certificat CA, uneori un certificat de client și o cheie separate, și posibil un fișier tls-auth sau tls-crypt. Un profil care face referire la patru fișiere dar sosește cu două este incomplet, și nicio cantitate de indicare a câmpurilor nu repară asta. Cereți operatorului partea lipsă în loc să o înlocuiți cu un certificat pe care îl aveți din întâmplare.

Separați patru tipuri de material

Certificatul CA este material public folosit pentru a verifica identitatea serverului. Un certificat de client identifică utilizatorul sau dispozitivul în fața serverului. O cheie privată este jumătatea secretă a acelui certificat de client și nu trebuie să fie niciodată cheia de semnare a CA sau o cheie de server. Materialul tls-auth sau tls-crypt este un secret partajat separat care protejează canalul de control. Acestea patru nu sunt interschimbabile, iar direcționarea câmpului CA către un certificat de client produce o eroare de verificare care arată ca o problemă de încredere.

Autentificare doar cu parolă schimbă care dintre cele patru vă trebuie, nu ce înseamnă ele. Cu auth-user-pass și remote-cert-tls server clientul verifică în continuare serverul față de un CA, de aceea câmpul CA apare chiar și când nu există certificat de client. Politica operatorului decide dacă este necesar și un certificat de client, iar niciun dialog nu vă poate spune asta.

Îndreptați clientul spre fișierul de încredere

Selectați fișierul de certificat CA în sine, nu folderul care îl conține și nu un pachet .p12 care conține o identitate de client. Pe Windows sintaxa căii și selectorul de fișiere se comportă diferit de exemplele Linux din majoritatea ghidurilor, așa că folosiți ce acceptă clientul instalat și confirmați că fișierul este lizibil de contul care îl rulează. O problemă de permisiuni și un fișier lipsă arată la fel în dialog dar produc linii de jurnal diferite. După selecție, redeschideți setările profilului pentru a confirma că clientul a păstrat alegerea.

<ca>
-----BEGIN CERTIFICATE-----
...operator-provided public CA...
-----END CERTIFICATE-----
</ca>

Dacă clientul acceptă blocuri încorporate, preferați profilul încorporat al operatorului în locul unuia asamblat manual. Materialul încorporat călătorește cu profilul și supraviețuiește reimportului, în timp ce o cale absolută se rupe în momentul în care profilul este mutat pe altă mașină.

Citiți următoarea eroare, nu aceeași

Scopul furnizării CA-ului corect este schimbarea erorii, nu dispariția ei. O eroare de identitate a serverului după încărcarea CA înseamnă că certificatul nu corespundea numelui așteptat sau așteptării remote-cert-tls, ceea ce este o reparație diferită de o respingere a parolei. O respingere a parolei înseamnă că stratul TLS a reușit și că acreditarea este greșită. Păstrați primul mesaj nou; acela este util.

Un client care se conectează dar nu ajunge nicăieri a trecut complet de încredere și se confruntă acum cu o întrebare de rutare sau DNS.

Nu dezactivați niciodată verificarea pentru a trece de acel dialog. Un client care acceptă orice certificat nu are niciun motiv să ceară un CA, iar tunelul pe care îl construiește nu este cel la care s-a gândit operatorul.