Certifikát je vo Windows viditeľný, ale OpenVPN nedokáže použiť jeho kľúč

Certifikát je viditeľný v prehliadači certifikátov Windows, a klient ho napriek tomu nedokáže použiť. Vidieť certifikát dokazuje len to, že v úložisku existuje verejný objekt. Nedokazuje, že proces pripojenia nájde zodpovedajúci súkromný kľúč alebo že ho smie použiť.

Tri objekty sa musia zhodovať. Vybraný certifikát, súkromný kľúč za ním a účet, pod ktorým klient beží, sú oddelené veci a každá z nich môže zlyhať sama o sebe.

Tri objekty, tri odpovede

Komunitná verzia OpenVPN pre Windows dokumentuje volič úložiska CryptoAPI, cryptoapicert, ktorý preberá odtlačok. Hodnota musí označovať certifikát, ktorý naozaj chcete použiť, nie iný s podobným názvom. Iné aplikácie postavené na OpenVPN môžu mať úplne iný model importu, preto je volič dôkazom len pre to zostavenie, ktoré ho dokumentuje. Skôr než začnete čokoľvek ladiť ďalej, overte, že váš klient tento mechanizmus implementuje.

Ak zostavenie volič nepodporuje, riešením je iný formát profilu, nie iný certifikát.

Vedie volič k správnej identite

Verejný certifikát možno importovať bez jeho súkromného kľúča. Prehliadač ho zobrazí v oboch prípadoch, a preto táto porucha vyzerá, akoby klient ignoroval certifikát, ktorý tam zjavne je. Kontrolujte spojenie s kľúčom, nie iba prítomnosť záznamu.

Obnovený certifikát pridáva druhú pascu. Oba záznamy môžu zostať v úložisku, zatiaľ čo profil stále uvádza starší odtlačok, a klient naďalej vyberá identitu, ktorú ste chceli vyradiť.

Skôr než sa pozriete na oprávnenia, zistite, ku ktorej identite volič vedie. Nesprávny odtlačok zlyhá rovnako ako chýbajúci kľúč.

Môže tento účet použiť kľúč

Prístup ku kľúču je na účet. Služba, naplánovaná úloha a interaktívna relácia pracovnej plochy môžu mať rôzne pohľady na úložisko a rôzne oprávnenia použiť súkromný kľúč. To, že certifikát vidíte vo svojej vlastnej relácii, o účte služby nehovorí nič.

Kľúč podporený hardvérom môže potrebovať svojho poskytovateľa a krok potvrdenia. Službu, ktorá nevie zobraziť výzvu, export kľúča do obyčajného súboru nezachráni.

Prečítajte si miestnu chybu, skôr než čokoľvek zmeníte. Zlyhanie výberu, zlyhanie podpisu a odmietnutie zo servera sú tri rôzne výsledky. Iba prvé dva sú miestne. Tretí znamená, že kľúč fungoval a server sa rozhodol proti certifikátu.

Miestne použitie nie je prijatie zo servera

Miestny úspech nie je oprávnenie. Aj po tom, čo klient podpíše svojím kľúčom, server stále hodnotí vydavateľa, okno platnosti, rolu a svoju zásadu prístupu. Iný certifikát od tej istej CA automaticky nenesie rovnaké práva na VPN.

Server potrebuje reťaz dôvery, nie kópiu súkromného kľúča klienta. Poslať kľúč na server nie je nikdy opravou problému s overovaním.

Riešte poruchu po poriadku

Uchovajte presný text chyby. Chýbajúce oprávnenie ku kľúču sa nesmie zmeniť na zmenu CA a odmietnutie zo servera na opravu úložiska. Každé má svoje dôkazy.

Postupujte v poradí, v akom sa porucha objavuje: volič, kľúč, účet a potom zásada servera. Komunitná referencia klienta dokumentuje volič úložiska Windows pre verziu, ktorú používate.