Ktorý súbor CA patrí do profilu OpenVPN len s heslom?

Prejdite štyri otázky po poradí a dialóg CA prestane byť nejednoznačný. Aký materiál operátor vlastne vydal, čo profil už obsahuje, ktoré pole sa pýta a čo sa stane po načítaní súboru? Zastavte sa pri prvej otázke, na ktorú nedokážete odpovedať z pokynov samotného operátora, pretože hádanie za ňou je práve cesta, ako sa verejný certifikát CA ocitne v páre s privátnym kľúčom, ktorý nikdy nemal opustiť server.

Na poradí záleží: posledné dve otázky majú zmysel len vtedy, keď viete, aký materiál má existovať.

Začnite tým, čo profil už nesie

Otvorte profil v textovom editore a hľadajte blok ca skôr, než budete hľadať súbor. Vložený blok ca s verejným CA operátora znamená, že profil je sebestačný, a klient, ktorý napriek tomu žiada súbor CA, možno číta iný profil alebo neúplný import. Ak má profil namiesto toho riadok ca ukazujúci na cestu, táto cesta je v niektorých integráciách relatívna k pracovnému adresáru klienta a v iných absolútna. Poznamenajte si, ktorú podobu máte, skôr než čokoľvek zmeníte.

ca /absolute/path/operator-ca.crt
auth-user-pass
remote-cert-tls server

Skontrolujte dodaný balík na súbory, na ktoré profil odkazuje: certifikát CA, niekedy samostatný klientsky certifikát a kľúč a prípadne súbor tls-auth alebo tls-crypt. Profil odkazujúci na štyri súbory, ktorý dorazí s dvoma, je neúplný a žiadne ukazovanie na polia to nenapraví. Požiadajte operátora o chýbajúcu časť namiesto toho, aby ste dosadili certifikát, ktorý náhodou máte.

Oddeľte štyri druhy materiálu

Certifikát CA je verejný materiál používaný na overenie identity servera. Klientsky certifikát identifikuje používateľa alebo zariadenie voči serveru. Privátny kľúč je tajná polovica tohto klientskeho certifikátu a nikdy nesmie byť podpisovým kľúčom CA ani serverovým kľúčom. Materiál tls-auth alebo tls-crypt je samostatné zdieľané tajomstvo, ktoré chráni riadiaci kanál. Tieto štyri nie sú zameniteľné a nasmerovanie poľa CA na klientsky certifikát vyvolá zlyhanie overenia, ktoré vyzerá ako problém s dôverou.

Overovanie iba heslom mení, ktorý zo štyroch potrebujete, nie čo znamenajú. S auth-user-pass a remote-cert-tls server klient stále overuje server voči CA, a preto sa pole CA objaví aj vtedy, keď neexistuje klientsky certifikát. O tom, či je klientsky certifikát tiež požadovaný, rozhoduje politika operátora a žiadny dialóg vám to nepovie.

Nasmerujte klienta na súbor dôvery

Vyberte samotný súbor certifikátu CA, nie priečinok, ktorý ho obsahuje, a nie balík .p12, ktorý nesie klientsku identitu. V systéme Windows sa syntax cesty a výber súboru správajú inak ako linuxové príklady vo väčšine návodov, preto použite to, čo nainštalovaný klient prijíma, a overte, že súbor môže čítať účet, ktorý ho spúšťa. Problém s oprávnením a chýbajúci súbor vyzerajú v dialógu rovnako, ale produkujú rôzne riadky protokolu. Po výbere znova otvorte nastavenia profilu a potvrďte, že klient voľbu zachoval.

<ca>
-----BEGIN CERTIFICATE-----
...operator-provided public CA...
-----END CERTIFICATE-----
</ca>

Ak klient podporuje vložené bloky, uprednostnite vložený profil operátora pred ručne zostaveným. Vložený materiál cestuje s profilom a prežije opätovný import, zatiaľ čo absolútna cesta sa zlomí v momente, keď sa profil presunie na iný stroj.

Čítajte ďalšiu chybu, nie tú istú

Zmyslom dodania správneho CA je zmeniť chybu, nie nechať ju zmiznúť. Zlyhanie identity servera po načítaní CA znamená, že certifikát nezodpovedal očakávanému názvu ani očakávaniu remote-cert-tls, čo je iná oprava než odmietnutie hesla. Odmietnutie hesla znamená, že vrstva TLS uspela a prihlasovacie údaje sú nesprávne. Ponechajte si prvú novú správu; tá je užitočná.

Klient, ktorý sa pripojí, ale nikam nedosiahne, už úplne prešiel dôverou a teraz čelí otázke smerovania alebo DNS.

Nikdy nevypínajte overovanie, aby ste prešli týmto dialógom. Klient, ktorý prijme akýkoľvek certifikát, nemá dôvod žiadať CA a tunel, ktorý stavia, nie je ten, ktorý operátor zamýšľal.