AWS Client VPN: certifikata e serverit kundrejt rolit të certifikatës së klientit
Certifikata e serverit të endpointit vërteton shërbimin. Autentikimi i ndërsjellë shton identitete për çdo klient dhe besim në CA pa ndarë çelësin e serverit.
Një endpoint Client VPN ka gjithmonë nevojë për një certifikatë TLS serveri. Ky është identiteti që endpointi i menaxhuar paraqet kur një klient lidhet. Është objekt tjetër nga certifikatat që klientët individualë paraqesin kur përdoret autentikimi i ndërsjellë. Ngatërrimi i këtyre të dyjave është arsyeja më e zakonshme pse një konfigurim ACM ndryshe i saktë dështon përsëri në lidhjen e parë.
Këtu është një kalim nga konsola drejt jashtë, në rendin që një lidhje kalon vërtet.
Dy role, një endpoint
Endpointi zotëron një identitet serveri dhe, opsionalisht, një mënyrë për të verifikuar identitetet e klientëve. Këto konfigurohen veçmas. Njëra vendos nëse klienti mund t'i besojë shërbimit; tjetra vendos nëse shërbimi e pranon klientin.
| Material | Purpose | Where it lives |
|---|---|---|
| Server certificate and private key | The managed endpoint proves its TLS identity | ACM, in the endpoint's Region |
| Client certificate and matching key | An individual client proves its identity | On the device |
| CA trust material | The verifier checks the issuer chain | Selected for the client role |
Lexojeni tabelën si tre kërkesa të pavarura dhe jo si një certifikatë e vetme. Certifikata e serverit dhe çelësi i saj privat qëndrojnë te shërbimi. Një certifikatë klienti dhe çelësi privat përkatës jetojnë në pajisje. Materiali i CA është ai që përdor një verifikues për të kontrolluar zinxhirin. Vetëm rreshti i mesëm i takon ndonjëherë një laptopi.
Çfarë bën certifikata e serverit ACM
Kur krijoni endpointin, certifikata e serverit duhet të jetë e disponueshme në ACM në të njëjtin rajon si endpointi. Konsola kërkon një ARN dhe ajo ARN duhet të zgjidhet atje. ACM mund të mbajë një certifikatë që e keni siguruar me validim domeni, ose një që e keni importuar bashkë me çelësin dhe zinxhirin e saj. Të dyja funksionojnë në këtë rol; ndryshojnë në rinovim dhe në atë se kush mban çelësin privat.
Zgjidhni rrugën e sigurimit që përputhet me atë se kush mund ta rinovojë certifikatën, jo atë që rastësisht prodhoi një skedar me pamje të vlefshme.
Çfarë shton autentikimi i ndërsjellë
Zgjedhja e autentikimit të klientit të bazuar në certifikatë shton një pyetje të dytë: cilët klientë mund të lidhen fare. Çdo klient paraqet certifikatën e vet dhe provon posedimin e çelësit privat përkatës. Janë identitetet e ndara ato që e bëjnë të mundur më vonë një revokim selektiv. Kopjimi i një çelësi klienti në çdo pajisje e hedh poshtë atë veti në heshtje, edhe kur certifikata e serverit është marrë në mënyrë të përsosur.
Metoda e autentikimit të endpointit është zgjedhje, jo kërkesë universale.
Active Directory dhe autentikimi i federuar i përgjigjen të njëjtës pyetje me mjete të tjera. Një recetë me certifikatë të ndërsjellë nuk është automatikisht dizajni i hyrjes për ato vendosje, dhe verifikimi TLS i serverit mbetet në fuqi pavarësisht se si pranohet përdoruesi.
Pse e njëjta ARN e CA nuk është ndarje çelësash
AWS dokumenton se, kur certifikata e serverit dhe ajo e klientit lëshohen nga e njëjta CA, ARN e certifikatës së serverit mund të përdoret gjithashtu për zgjedhjen e certifikatës së klientit. Ajo fjali ka të bëjë me atë se cilit zinxhir i beson endpointi gjatë verifikimit. Nuk u thotë klientëve të përdorin çelësin privat të serverit. Një laptop ka ende nevojë për certifikatën e vet të klientit dhe çelësin e vet përkatës.
Kur CA e klientit është një lëshues tjetër, rruga e dokumentuar është të importoni atë CA në ACM dhe ta zgjidhni për rolin e klientit.
Kthejeni dështimin pas në një fazë
Përcaktoni cila fazë dështon përpara se të zëvendësoni çdo gjë. Nëse klienti e refuzon endpointin, ARN e serverit ose zinxhiri i tij është i dyshuari. Nëse endpointi e refuzon klientin, shikoni certifikatën e klientit, lëshuesin e saj dhe metodën e autentikimit të zgjedhur. Nëse tuneli ngrihet dhe trafiku ende dështon, ju keni kaluar certifikatat.
Zëvendësoni një objekt në një herë, sepse ndërrimi i të dy skajeve njëkohësisht riprodhon paqartësinë me të cilën filluat.
Kontrolloni gjithashtu algoritmet e çelësit të mbështetura dhe zgjerimet e kërkuara të shërbimit për rolin specifik. Një certifikatë që plotëson një faqe web publike nuk është provë se janë përmbushur të gjitha kërkesat e identitetit të Client VPN.
Shkruani cilën ARN mban çdo fushë, cila CA lëshoi certifikatën e klientit dhe cilën metodë autentikimi përdor vërtet endpointi. Tre rreshta evidence e kthejnë rinovimin e ardhshëm në detyrë në vend të një hetimi.