Certificatul se vede în Windows, dar OpenVPN nu poate folosi cheia lui

Certificatul se vede în vizualizatorul de certificate din Windows, iar clientul tot nu îl poate folosi. Faptul că vedeți un certificat demonstrează doar că există un obiect public într-un magazin. Nu demonstrează că procesul de conectare găsește cheia privată corespunzătoare sau că are voie să o folosească.

Trei obiecte trebuie să se alinieze. Certificatul selectat, cheia privată din spatele lui și contul sub care rulează clientul sunt lucruri separate, iar fiecare poate eșua de unul singur.

Trei obiecte, trei răspunsuri

Versiunea comunitară a OpenVPN pe Windows documentează un selector de magazin CryptoAPI, cryptoapicert, care primește o amprentă. Valoarea trebuie să indice certificatul pe care intenționați cu adevărat să îl folosiți, nu altul cu un nume asemănător. Alte aplicații bazate pe OpenVPN pot avea un model de import complet diferit, așa că selectorul este dovadă doar pentru versiunea compilată care îl documentează. Confirmați că clientul dumneavoastră implementează mecanismul înainte de a depana ceva mai jos.

Dacă versiunea compilată nu acceptă selectorul, soluția este un alt format de profil, nu un alt certificat.

Selectorul duce la identitatea corectă

Un certificat public poate fi importat fără cheia lui privată. Vizualizatorul îl arată în ambele cazuri, și de aceea această defecțiune arată ca și cum clientul ignoră un certificat care este evident acolo. Verificați asocierea cheii, nu doar prezența înregistrării.

Un certificat reînnoit adaugă o a doua capcană. Ambele înregistrări pot rămâne în magazin în timp ce profilul indică încă amprenta mai veche, iar clientul alege în continuare identitatea pe care intenționați să o retrageți.

Verificați la ce identitate duce selectorul înainte de a vă uita la permisiuni. O amprentă greșită eșuează la fel ca o cheie lipsă.

Poate acest cont să folosească cheia

Accesul la cheie este pe cont. Un serviciu, o sarcină programată și o sesiune interactivă de desktop pot avea vederi diferite asupra magazinului și permisiuni diferite de a folosi o cheie privată. Faptul că certificatul este vizibil în propria sesiune nu spune nimic despre contul de serviciu.

O cheie susținută de hardware poate avea nevoie de furnizorul ei și de un pas de confirmare. Un serviciu care nu poate afișa o solicitare nu este salvat prin exportarea cheii într-un fișier simplu.

Citiți eroarea locală înainte de a schimba ceva. O eroare de selecție, o eroare de semnare și un refuz de la server sunt trei rezultate diferite. Doar primele două sunt locale. Al treilea înseamnă că cheia a funcționat și că serverul a decis împotriva certificatului.

Utilizarea locală nu este acceptare de la server

Succesul local nu este o autorizare. După ce clientul semnează cu cheia lui, serverul evaluează în continuare emitentul, fereastra de valabilitate, rolul și politica lui de acces. Un certificat diferit de la aceeași AC nu aduce automat aceleași drepturi de VPN.

Serverul are nevoie de lanțul de încredere, nu de o copie a cheii private a clientului. Trimiterea cheii la server nu este niciodată reparația unei probleme de verificare.

Tratați defecțiunea în ordine

Păstrați textul exact al erorii. O permisiune lipsă asupra cheii nu trebuie să devină o schimbare de AC, iar un refuz de la server nu trebuie să devină o reparație a magazinului. Fiecare are dovezile lui.

Lucrați în ordinea în care apare defecțiunea: selector, cheie, cont, apoi politica serverului. Referința comunitară a clientului documentează selectorul de magazin din Windows pentru versiunea pe care o rulați.