AWS Client VPN: certifikát servera a úloha klientskeho certifikátu
Certifikát servera koncového bodu preukazuje službu. Vzájomné overovanie pridáva identity jednotlivých klientov a dôveru v CA bez zdieľania kľúča servera.
Koncový bod Client VPN vždy potrebuje TLS certifikát servera. To je identita, ktorú spravovaný koncový bod predkladá, keď sa klient pripája. Je to iný objekt ako certifikáty, ktoré predkladajú jednotliví klienti pri vzájomnom overovaní. Zámena týchto dvoch je najčastejším dôvodom, prečo inak správne nastavenie ACM stále zlyhá pri prvom pripojení.
Nasleduje prehliadka z konzoly smerom von, v poradí, ktorým pripojenie skutočne prechádza.
Dve úlohy, jeden koncový bod
Koncový bod vlastní identitu servera a voliteľne spôsob overovania identít klientov. To sa konfiguruje oddelene. Jedno rozhoduje o tom, či môže klient dôverovať službe; druhé rozhoduje o tom, či služba prijme klienta.
| Material | Purpose | Where it lives |
|---|---|---|
| Server certificate and private key | The managed endpoint proves its TLS identity | ACM, in the endpoint's Region |
| Client certificate and matching key | An individual client proves its identity | On the device |
| CA trust material | The verifier checks the issuer chain | Selected for the client role |
Čítajte tabuľku ako tri nezávislé požiadavky, nie ako jeden certifikát. Certifikát servera a jeho súkromný kľúč zostávajú pri službe. Klientsky certifikát a zodpovedajúci súkromný kľúč žijú v zariadení. Materiál CA je to, čím overovateľ kontroluje reťazec. Na notebook patrí vždy len stredný riadok.
Čo robí certifikát servera v ACM
Pri vytváraní koncového bodu musí byť certifikát servera dostupný v ACM v rovnakom regióne ako koncový bod. Konzola žiada ARN a ten ARN tam musí byť rozpoznateľný. ACM môže obsahovať certifikát, ktorý ste zaobstarali s overením domény, alebo ten, ktorý ste importovali spolu s kľúčom a reťazcom. Oba v tejto úlohe fungujú; líšia sa v obnove a v tom, kto drží súkromný kľúč.
Zvoľte cestu zaobstarania podľa toho, kto môže certifikát obnovovať, nie podľa toho, ktorá náhodou vytvorila správne vyzerajúci súbor.
Čo pridáva vzájomné overovanie
Výber overovania klienta na základe certifikátov pridáva druhú otázku: ktorí klienti sa vôbec smú pripojiť. Každý klient predkladá svoj vlastný certifikát a preukazuje vlastníctvo zodpovedajúceho súkromného kľúča. Práve oddelené identity umožňujú neskôr selektívne odvolanie. Kopírovanie jedného klientskeho kľúča do každého zariadenia túto vlastnosť ticho zahodí, aj keď bol certifikát servera získaný bezchybne.
Metóda overovania koncového bodu je voľba, nie univerzálna požiadavka.
Active Directory a federované overovanie odpovedajú na tú istú otázku inými prostriedkami. Recept s vzájomným certifikátom nie je automaticky návrhom prihlasovania pre tieto nasadenia a overovanie TLS na strane servera zostáva v platnosti bez ohľadu na to, ako je používateľ vpustený.
Prečo ten istý ARN CA nie je zdieľanie kľúčov
AWS dokumentuje, že ak sú certifikát servera a klientsky certifikát vydané tou istou CA, ARN certifikátu servera možno použiť aj na výber klientskeho certifikátu. Tá veta je o tom, ktorému reťazcu koncový bod dôveruje pri overovaní. Nehovorí klientom, aby používali súkromný kľúč servera. Notebook stále potrebuje svoj vlastný klientsky certifikát a svoj vlastný zodpovedajúci kľúč.
Keď je CA klienta iný vydavateľ, dokumentovaná cesta je importovať tú CA do ACM a vybrať ju pre úlohu klienta.
Dohľadajte zlyhanie späť k etape
Predtým ako niečo nahradíte, určte, ktorá etapa zlyháva. Ak klient odmieta koncový bod, podozrivý je ARN servera alebo jeho reťazec. Ak koncový bod odmieta klienta, pozrite sa na klientsky certifikát, jeho vydavateľa a zvolenú metódu overovania. Ak tunel naskočí a prevádzka stále zlyháva, ste už mimo certifikátov.
Nahrádzajte jeden objekt po druhom, pretože výmena oboch koncov naraz reprodukuje nejednoznačnosť, s ktorou ste začali.
Skontrolujte aj podporované algoritmy kľúčov a požadované rozšírenia služby pre konkrétnu úlohu. Certifikát, ktorý vyhovuje verejnej webovej stránke, nie je dôkazom, že sú splnené všetky požiadavky na identitu Client VPN.
Zapíšte, ktorý ARN drží každé pole, ktorá CA vydala klientsky certifikát a ktorú metódu overovania koncový bod skutočne používa. Tri riadky záznamu premenia nasledujúcu obnovu na úlohu namiesto vyšetrovania.