AWS Client VPN: strežniško potrdilo in vloga odjemalskega potrdila
Strežniško potrdilo končne točke dokazuje storitev. Vzajemna overitev doda identitete posameznih odjemalcev in zaupanje v CA brez deljenja strežniškega ključa.
Končna točka Client VPN vedno potrebuje strežniško potrdilo TLS. To je identiteta, ki jo upravljana končna točka predstavi, ko se odjemalec poveže. To je drug predmet kot potrdila, ki jih predstavijo posamezni odjemalci pri vzajemni overitvi. Zamenjava teh dveh je najpogostejši razlog, da sicer pravilna nastavitev ACM še vedno spodleti ob prvi povezavi.
Sledi sprehod od konzole navzven, v vrstnem redu, ki ga povezava v resnici prehodi.
Dve vlogi, ena končna točka
Končna točka ima strežniško identiteto in, neobvezno, način za preverjanje identitet odjemalcev. To se nastavi ločeno. Eno odloči, ali lahko odjemalec zaupa storitvi; drugo odloči, ali storitev sprejme odjemalca.
| Material | Purpose | Where it lives |
|---|---|---|
| Server certificate and private key | The managed endpoint proves its TLS identity | ACM, in the endpoint's Region |
| Client certificate and matching key | An individual client proves its identity | On the device |
| CA trust material | The verifier checks the issuer chain | Selected for the client role |
Tabelo berite kot tri neodvisne zahteve, ne kot eno potrdilo. Strežniško potrdilo in njegov zasebni ključ ostaneta pri storitvi. Odjemalsko potrdilo in ustrezen zasebni ključ sta na napravi. Gradivo CA je tisto, s čimer preverjevalec preveri verigo. Samo srednja vrstica kdaj pripada prenosniku.
Kaj počne strežniško potrdilo ACM
Ko ustvarite končno točko, mora biti strežniško potrdilo na voljo v ACM v isti regiji kot končna točka. Konzola zahteva ARN in ta ARN se mora tam razrešiti. ACM lahko hrani potrdilo, ki ste ga zagotovili s preverjanjem domene, ali tisto, ki ste ga uvozili skupaj s ključem in verigo. Oboje deluje v tej vlogi; razlikujeta se pri obnovi in v tem, kdo ima zasebni ključ.
Izberite pot zagotavljanja, ki se ujema s tem, kdo lahko potrdilo obnovi, ne tisto, ki je slučajno ustvarila na videz veljavno datoteko.
Kaj doda vzajemna overitev
Izbira overitve odjemalca na podlagi potrdil doda drugo vprašanje: kateri odjemalci se sploh smejo povezati. Vsak odjemalec predstavi svoje potrdilo in dokaže posedovanje ustreznega zasebnega ključa. Prav ločene identitete omogočijo poznejši selektivni preklic. Kopiranje enega odjemalskega ključa na vsako napravo tiho zavrže to lastnost, tudi ko je bilo strežniško potrdilo pridobljeno brezhibno.
Metoda overjanja končne točke je izbira, ne univerzalna zahteva.
Active Directory in federirano overjanje odgovorita na isto vprašanje z drugimi sredstvi. Recept z vzajemnim potrdilom ni samodejno načrt prijave za te postavitve in preverjanje TLS na strežniku ostane v veljavi ne glede na to, kako je uporabnik spuščen noter.
Zakaj isti ARN CA ni deljenje ključev
AWS dokumentira, da se, ko sta strežniško in odjemalsko potrdilo izdani s strani iste CA, ARN strežniškega potrdila lahko uporabi tudi za izbiro odjemalskega potrdila. Ta stavek se nanaša na to, kateri verigi končna točka zaupa pri preverjanju. Ne pravi odjemalcem, naj uporabijo zasebni ključ strežnika. Prenosnik še vedno potrebuje svoje odjemalsko potrdilo in svoj ustrezen ključ.
Ko je CA odjemalca drug izdajatelj, je dokumentirana pot uvoziti to CA v ACM in jo izbrati za vlogo odjemalca.
Ponesite napako nazaj na stopnjo
Preden kar koli zamenjate, ugotovite, katera stopnja spodleti. Če odjemalec zavrne končno točko, sta sumljiva ARN strežnika ali njegova veriga. Če končna točka zavrne odjemalca, poglejte odjemalsko potrdilo, njegovega izdajatelja in izbrano metodo overjanja. Če se tunel dvigne in promet še vedno spodleti, ste že mimo potrdil.
Zamenjajte en predmet naenkrat, ker zamenjava obeh koncev hkrati obnovi nejasnost, s katero ste začeli.
Preverite tudi podprte algoritme ključev in zahtevane razširitve storitve za določeno vlogo. Potrdilo, ki zadovolji javno spletno mesto, ni dokaz, da so izpolnjene vse zahteve za identiteto Client VPN.
Zapišite, kateri ARN vsebuje vsako polje, katera CA je izdala odjemalsko potrdilo in katero metodo overjanja končna točka dejansko uporablja. Tri vrstice zapisa spremenijo naslednjo obnovo v nalogo namesto v preiskavo.