AWS Client VPN: сертификат сервера и улога клијентског сертификата
Сертификат сервера крајње тачке доказује услугу. Узајамна аутентификација додаје идентитете по клијенту и поверење у CA без дељења кључа сервера.
Крајња тачка Client VPN-а увек захтева TLS сертификат сервера. То је идентитет који управљана крајња тачка представља када се клијент повезује. То је други објекат од сертификата које појединачни клијенти представљају када се користи узајамна аутентификација. Мешање тих двеју најчешћи је разлог зашто иначе исправна ACM конфигурација ипак не успева при првом повезивању.
Следи преглед од конзоле ка споља, редоследом којим веза заиста пролази.
Две улоге, једна крајња тачка
Крајња тачка има идентитет сервера и, опционо, начин провере идентитета клијената. То се конфигурише одвојено. Једно одлучује да ли клијент може да верује услузи; друго одлучује да ли услуга прихвата клијента.
| Material | Purpose | Where it lives |
|---|---|---|
| Server certificate and private key | The managed endpoint proves its TLS identity | ACM, in the endpoint's Region |
| Client certificate and matching key | An individual client proves its identity | On the device |
| CA trust material | The verifier checks the issuer chain | Selected for the client role |
Читајте табелу као три независна захтева, а не као један сертификат. Сертификат сервера и његов приватни кључ остају уз услугу. Клијентски сертификат и одговарајући приватни кључ живе на уређају. CA материјал је оно чиме проверавач проверава ланац. Само средњи ред икада припада преноснику.
Шта ради ACM сертификат сервера
Када правите крајњу тачку, сертификат сервера мора бити доступан у ACM-у у истој регији као крајња тачка. Конзола тражи ARN и тај ARN се тамо мора разрешити. ACM може да чува сертификат који сте обезбедили са провером домена или онај који сте увозили заједно с кључем и ланцем. Оба раде у овој улози; разликују се у обнови и у томе ко држи приватни кључ.
Изаберите пут набавке који одговара томе ко може да обнови сертификат, а не онај који је случајно произвео датотеку која изгледа ваљано.
Шта додаје узајамна аутентификација
Избор аутентификације клијента засноване на сертификату додаје друго питање: који клијенти уопште смеју да се повежу. Сваки клијент представља сопствени сертификат и доказује поседовање одговарајућег приватног кључа. Одвојени идентитети омогућавају касније селективно опозивање. Копирање једног клијентског кључа на сваки уређај тихо одбацује то својство, чак и када је сертификат сервера прибављен беспрекорно.
Метод аутентификације крајње тачке је избор, а не универзални захтев.
Active Directory и федеративна аутентификација одговарају на исто питање другим средствима. Рецепт са узајамним сертификатом није аутоматски дизајн пријаве за та распоређивања, а TLS провера сервера остаје на месту без обзира на то како се корисник пушта унутра.
Зашто исти CA ARN није дељење кључева
AWS документује да када су серверски и клијентски сертификат издати од истог CA, ARN серверског сертификата може да се користи и за избор клијентског сертификата. Та реченица говори о томе коме ланцу крајња тачка верује при провери. Она не каже клијентима да користе приватни кључ сервера. Преносник и даље захтева сопствени клијентски сертификат и сопствени одговарајући кључ.
Када је CA клијента други издавач, документовани пут је да увезете тај CA у ACM и изаберете га за улогу клијента.
Вратите квар на одговарајућу фазу
Пре него што било шта замените, утврдите која фаза не успева. Ако клијент одбија крајњу тачку, сумњивци су ARN сервера или његов ланац. Ако крајња тачка одбија клијента, погледајте клијентски сертификат, његовог издавача и изабрани метод аутентификације. Ако се тунел подигне, а саобраћај и даље не успева, већ сте прошли сертификате.
Замените један објекат одједном, јер замена оба краја истовремено репродукује двосмисленост с којом сте почели.
Проверите и подржане алгоритме кључева и потребна проширења услуге за конкретну улогу. Сертификат који задовољава јавни веб-сајт није доказ да су испуњени сви захтеви за идентитет Client VPN-а.
Запишите који ARN држи које поље, која је CA издала клијентски сертификат и који метод аутентификације крајња тачка стварно користи. Три реда записа претварају следећу обнову у задатак уместо у истрагу.