Katera datoteka CA sodi v profil OpenVPN samo z geslom?

Pojdite skozi štiri vprašanja po vrsti in pogovorno okno CA ni več dvoumno. Kateri material je operater dejansko izdal, kaj profil že vsebuje, katero polje sprašuje in kaj se zgodi po nalaganju datoteke? Ustavite se pri prvem vprašanju, na katero ne morete odgovoriti iz operaterjevih lastnih navodil, ker je ugibanje onkraj tega natanko pot, po kateri javni certifikat CA konča v paru z zasebnim ključem, ki nikoli ne bi smel zapustiti strežnika.

Vrstni red je pomemben: zadnji dve vprašanji imata smisel šele, ko veste, kateri material naj bi obstajal.

Začnite s tem, kar profil že vsebuje

Odprite profil v urejevalniku besedila in pred iskanjem datoteke poiščite blok ca. Vgrajen blok ca z javnim CA operaterja pomeni, da je profil samozadosten, odjemalec, ki še vedno zahteva datoteko CA, pa morda bere drug profil ali nepopoln uvoz. Če ima profil namesto tega vrstico ca, ki kaže na pot, je ta pot v nekaterih integracijah relativna glede na delovno mapo odjemalca, v drugih pa absolutna. Zapišite, katero obliko imate, preden karkoli spremenite.

ca /absolute/path/operator-ca.crt
auth-user-pass
remote-cert-tls server

Preverite dostavljeni paket za datoteke, na katere se profil sklicuje: potrdilo CA, včasih ločeno potrdilo odjemalca in ključ ter morda datoteko tls-auth ali tls-crypt. Profil, ki se sklicuje na štiri datoteke, a prispe z dvema, je nepopoln in nobeno kazanje na polja tega ne popravi. Od operaterja zahtejte manjkajoči del, namesto da bi ga nadomestili s potrdilom, ki ga slučajno imate.

Ločite štiri vrste materiala

Potrdilo CA je javni material, ki se uporablja za preverjanje identitete strežnika. Potrdilo odjemalca identificira uporabnika ali napravo pri strežniku. Zasebni ključ je tajna polovica tega potrdila odjemalca in nikoli ne sme biti podpisni ključ CA ali strežniški ključ. Material tls-auth ali tls-crypt je ločena skupna skrivnost, ki ščiti krmilni kanal. Ti štirje niso zamenljivi, usmeritev polja CA na potrdilo odjemalca pa povzroči napako preverjanja, ki izgleda kot težava z zaupanjem.

Preverjanje samo z geslom spremeni, katerega od štirih potrebujete, ne kaj pomenijo. S auth-user-pass in remote-cert-tls server odjemalec še vedno preverja strežnik glede na CA, zato se polje CA pojavi tudi takrat, ko potrdila odjemalca ni. O tem, ali je potrebno tudi potrdilo odjemalca, odloča politika operaterja in nobeno pogovorno okno vam tega ne more povedati.

Usmerite odjemalca na datoteko zaupanja

Izberite samo datoteko potrdila CA, ne mape, ki jo vsebuje, in ne paketa .p12, ki vsebuje identiteto odjemalca. V sistemu Windows se sintaksa poti in izbirnik datotek obnašata drugače kot linuxovski primeri v večini vodnikov, zato uporabite tisto, kar sprejme nameščeni odjemalec, in potrdite, da lahko datoteko bere račun, ki jo izvaja. Težava z dovoljenji in manjkajoča datoteka sta v pogovornem oknu videti enako, a ustvarita različne vrstice dnevnika. Po izbiri znova odprite nastavitve profila in potrdite, da je odjemalec izbiro obdržal.

<ca>
-----BEGIN CERTIFICATE-----
...operator-provided public CA...
-----END CERTIFICATE-----
</ca>

Če odjemalec podpira vgrajene bloke, dajte prednost vgrajenemu profilu operaterja pred ročno sestavljenim. Vgrajeni material potuje s profilom in preživi ponovni uvoz, medtem ko se absolutna pot zlomi v trenutku, ko se profil premakne na drug stroj.

Preberite naslednjo napako, ne iste

Smisel zagotavljanja pravega CA je spremeniti napako, ne pa da izgine. Napaka identitete strežnika po nalaganju CA pomeni, da se potrdilo ni ujemalo s pričakovanim imenom ali pričakovanjem remote-cert-tls, kar je drugačno popravilo kot zavrnitev gesla. Zavrnitev gesla pomeni, da je plast TLS uspela in da so poverilnice napačne. Obdržite prvo novo sporočilo; to je uporabno.

Odjemalec, ki se poveže, a ne doseže ničesar, je zaupanje popolnoma prešel in se zdaj sooča z vprašanjem usmerjanja ali DNS.

Nikoli ne izklopite preverjanja, da bi prišli skozi to pogovorno okno. Odjemalec, ki sprejme katero koli potrdilo, nima razloga zahtevati CA, in tunel, ki ga zgradi, ni tisti, ki ga je operater imel v mislih.