Certifikatet syns i Windows men OpenVPN kan inte använda dess nyckel

Certifikatet syns i Windows certifikatvisare och klienten kan ändå inte använda det. Att se ett certifikat bevisar bara att det finns ett offentligt objekt i ett arkiv. Det bevisar inte att anslutningsprocessen hittar den matchande privata nyckeln eller har rätt att använda den.

Tre objekt måste stämma överens. Det valda certifikatet, den privata nyckeln bakom det och kontot som klienten körs under är separata saker, och var och en kan misslyckas på egen hand.

Tre objekt, tre svar

Communityversionen av OpenVPN på Windows dokumenterar en CryptoAPI-arkivväljare, cryptoapicert, som tar ett fingeravtryck. Värdet måste peka ut det certifikat du faktiskt tänker använda, inte ett med liknande namn. Andra OpenVPN-baserade program kan ha en helt annan importmodell, så väljaren är bara bevis för den bygge som dokumenterar den. Bekräfta att din klient implementerar mekanismen innan du felsöker något längre fram.

Om bygget inte stöder väljaren är lösningen ett annat profilformat, inte ett annat certifikat.

Leder väljaren till rätt identitet

Ett offentligt certifikat kan importeras utan sin privata nyckel. Visaren visar det i båda fallen, och därför ser felet ut som om klienten ignorerar ett certifikat som tydligt finns där. Kontrollera nyckelkopplingen, inte bara att posten finns.

Ett förnyat certifikat lägger till en andra fälla. Båda posterna kan ligga kvar i arkivet medan profilen fortfarande anger det äldre fingeravtrycket, och klienten väljer fortfarande den identitet du ville avveckla.

Kontrollera vilken identitet väljaren leder till innan du tittar på behörigheter. Ett felaktigt fingeravtryck misslyckas på samma sätt som en saknad nyckel.

Kan det här kontot använda nyckeln

Nyckelåtkomst är per konto. En tjänst, en schemalagd uppgift och en interaktiv skrivbordssession kan ha olika arkivvyer och olika behörighet att använda en privat nyckel. Att certifikatet syns i din egen session säger ingenting om tjänstekontot.

En hårdvarustödd nyckel kan behöva sin leverantör och ett bekräftelsesteg. En tjänst som inte kan visa en fråga räddas inte av att nyckeln exporteras till en vanlig fil.

Läs det lokala felet innan du ändrar något. Ett valfel, ett signeringsfel och ett avslag från servern är tre olika utfall. Bara de två första är lokala. Det tredje betyder att nyckeln fungerade och att servern beslutade mot certifikatet.

Lokal användning är inte godkännande från servern

Lokal framgång är inte auktorisation. När klienten har signerat med sin nyckel utvärderar servern fortfarande utgivaren, giltighetsfönstret, rollen och sin egen åtkomstpolicy. Ett annat certifikat från samma CA bär inte automatiskt samma VPN-rättigheter.

Servern behöver tillitskedjan, inte en kopia av klientens privata nyckel. Att skicka nyckeln till servern är aldrig reparationen för ett verifieringsproblem.

Arbeta igenom felet i ordning

Spara den exakta feltexten. En saknad nyckelbehörighet ska inte bli en CA-ändring, och ett avslag från servern ska inte bli en arkivreparation. Var och en har sina egna bevis.

Arbeta i den ordning felet visar sig: väljare, nyckel, konto och sedan serverpolicy. Communityns klientreferens dokumenterar Windows arkivväljare för den version du kör.