AWS Client VPN: సర్వర్ సర్టిఫికెట్ మరియు క్లయింట్ సర్టిఫికెట్ పాత్ర
ఎండ్‌పాయింట్ సర్వర్ సర్టిఫికెట్ సేవను నిరూపిస్తుంది. పరస్పర ప్రామాణీకరణ సర్వర్ కీని పంచుకోకుండా ప్రతి క్లయింట్ గుర్తింపు మరియు CA విశ్వాసాన్ని జోడిస్తుంది.
Client VPN ఎండ్‌పాయింట్‌కు ఎప్పుడూ TLS సర్వర్ సర్టిఫికెట్ అవసరం. క్లయింట్ కనెక్ట్ అయినప్పుడు నిర్వహిత ఎండ్‌పాయింట్ చూపించే గుర్తింపు అదే. పరస్పర ప్రామాణీకరణ వాడినప్పుడు వ్యక్తిగత క్లయింట్లు చూపించే సర్టిఫికెట్లకు ఇది వేరే వస్తువు. ఈ రెండింటిని కలిపేయడమే, మిగతా అంతా సరిగ్గా ఉన్న ACM సెటప్ మొదటి కనెక్షన్‌లోనే విఫలం కావడానికి అత్యంత సాధారణ కారణం.
క్రింద కన్సోల్ నుండి బయటకు, ఒక కనెక్షన్ నిజంగా వెళ్లే క్రమంలోనే ఒక పర్యటన ఉంది.
రెండు పాత్రలు, ఒక ఎండ్‌పాయింట్
ఎండ్‌పాయింట్‌కు సర్వర్ గుర్తింపు ఉంది, కావాలంటే క్లయింట్ గుర్తింపులను ధృవీకరించే మార్గం కూడా ఉంది. ఇవి విడివిడిగా కాన్ఫిగర్ చేయబడతాయి. ఒకటి క్లయింట్ సేవను నమ్మగలదా అని నిర్ణయిస్తుంది; మరొకటి సేవ క్లయింట్‌ను అంగీకరిస్తుందా అని నిర్ణయిస్తుంది.
| Material | Purpose | Where it lives |
|---|---|---|
| Server certificate and private key | The managed endpoint proves its TLS identity | ACM, in the endpoint's Region |
| Client certificate and matching key | An individual client proves its identity | On the device |
| CA trust material | The verifier checks the issuer chain | Selected for the client role |
పట్టికను ఒక సర్టిఫికెట్‌గా కాక మూడు స్వతంత్ర అవసరాలుగా చదవండి. సర్వర్ సర్టిఫికెట్ మరియు దాని ప్రైవేట్ కీ సేవ దగ్గరే ఉంటాయి. క్లయింట్ సర్టిఫికెట్ మరియు దానికి సరిపోలే ప్రైవేట్ కీ పరికరంలో ఉంటాయి. CA పదార్థం అంటే ధృవీకర్త గొలుసును తనిఖీ చేయడానికి వాడేది. ల్యాప్‌టాప్‌లో ఎప్పుడూ మధ్య వరుస మాత్రమే వస్తుంది.
ACM సర్వర్ సర్టిఫికెట్ ఏమి చేస్తుంది
ఎండ్‌పాయింట్ సృష్టించేటప్పుడు సర్వర్ సర్టిఫికెట్ ACM లో ఎండ్‌పాయింట్ ఉన్న ప్రాంతంలోనే అందుబాటులో ఉండాలి. కన్సోల్ ARN అడుగుతుంది, ఆ ARN అక్కడే పరిష్కారం కావాలి. ACM డొమైన్ ధృవీకరణతో పొందిన సర్టిఫికెట్‌ను లేదా కీ మరియు గొలుసుతో దిగుమతి చేసిన దానిని ఉంచగలదు. రెండూ ఈ పాత్రలో పని చేస్తాయి; భేదం పునరుద్ధరణ మరియు ప్రైవేట్ కీ ఎవరి దగ్గర ఉంది అనేదానిలో ఉంది.
సర్టిఫికెట్‌ను ఎవరు పునరుద్ధరించగలరో వారికి సరిపోయే సేకరణ మార్గాన్ని ఎంచుకోండి, యాదృచ్ఛికంగా చెల్లుబాటు అయినట్టు కనిపించే ఫైల్ తయారుచేసిన మార్గాన్ని కాదు.
పరస్పర ప్రామాణీకరణ ఏమి జోడిస్తుంది
సర్టిఫికెట్ ఆధారిత క్లయింట్ ప్రామాణీకరణను ఎంచుకోవడం రెండో ప్రశ్నను జోడిస్తుంది: ఏ క్లయింట్లు అసలు కనెక్ట్ కాగలవు. ప్రతి క్లయింట్ తన సర్టిఫికెట్‌ను చూపించి, సరిపోలే ప్రైవేట్ కీ తన దగ్గర ఉందని నిరూపిస్తుంది. వేర్వేరు గుర్తింపులే తర్వాత ఎంపిక చేసి రద్దు చేయడాన్ని సాధ్యం చేస్తాయి. ఒక క్లయింట్ కీని ప్రతి పరికరానికి కాపీ చేయడం ఆ లక్షణాన్ని నిశ్శబ్దంగా వదిలేస్తుంది, సర్వర్ సర్టిఫికెట్ పరిపూర్ణంగా పొందినప్పటికీ.
ఎండ్‌పాయింట్ ప్రామాణీకరణ పద్ధతి ఒక ఎంపిక, సార్వత్రిక అవసరం కాదు.
Active Directory మరియు సమాఖ్య ప్రామాణీకరణ అదే ప్రశ్నకు వేరే సాధనాలతో సమాధానం ఇస్తాయి. పరస్పర సర్టిఫికెట్ విధానం ఆ అమరికలకు దానంతట అదే లాగిన్ రూపకల్పన కాదు, మరియు వినియోగదారుని ఎలా లోపలికి తీసుకొచ్చినా సర్వర్ TLS ధృవీకరణ అలాగే ఉంటుంది.
ఒకే CA ARN కీ పంపకం ఎందుకు కాదు
AWS నమోదు చేస్తుంది ఏమిటంటే, సర్వర్ మరియు క్లయింట్ సర్టిఫికెట్లను ఒకే CA జారీ చేసినప్పుడు, సర్వర్ సర్టిఫికెట్ ARN ను క్లయింట్ సర్టిఫికెట్ ఎంపికకు కూడా వాడవచ్చు. ఆ వాక్యం ఎండ్‌పాయింట్ ధృవీకరణ సమయంలో నమ్మే గొలుసు గురించి. అది క్లయింట్లను సర్వర్ ప్రైవేట్ కీని వాడమని చెప్పదు. ల్యాప్‌టాప్‌కు ఇంకా తన స్వంత క్లయింట్ సర్టిఫికెట్ మరియు స్వంత సరిపోలే కీ అవసరం.
క్లయింట్ CA వేరే జారీదారు అయినప్పుడు, నమోదైన మార్గం ఆ CA ను ACM లో దిగుమతి చేసి క్లయింట్ పాత్రకు దాన్ని ఎంచుకోవడం.
వైఫల్యాన్ని ఒక దశ వరకు తిరిగి తీసుకెళ్లండి
ఏదైనా మార్చే ముందు ఏ దశ విఫలమవుతోందో నిర్ణయించండి. క్లయింట్ ఎండ్‌పాయింట్‌ను తిరస్కరిస్తే, అనుమానాస్పదం సర్వర్ ARN లేదా దాని గొలుసు. ఎండ్‌పాయింట్ క్లయింట్‌ను తిరస్కరిస్తే, క్లయింట్ సర్టిఫికెట్, దాని జారీదారు, ఎంచుకున్న ప్రామాణీకరణ పద్ధతిని చూడండి. సొరంగం పైకి వచ్చి ట్రాఫిక్ ఇంకా విఫలమైతే, మీరు సర్టిఫికెట్లను దాటేశారు.
ఒకసారి ఒక వస్తువునే మార్చండి, ఎందుకంటే రెండు చివరలను కలిపి మార్చడం మీరు మొదలుపెట్టిన అదే అస్పష్టతను తిరిగి సృష్టిస్తుంది.
ఆ నిర్దిష్ట పాత్రకు సేవ మద్దతిచ్చే కీ అల్గారిథమ్‌లు మరియు అవసరమైన పొడిగింపులను కూడా తనిఖీ చేయండి. పబ్లిక్ వెబ్‌సైట్‌ను సంతృప్తిపరిచే సర్టిఫికెట్ Client VPN యొక్క అన్ని గుర్తింపు అవసరాలు నెరవేరాయనడానికి రుజువు కాదు.
ఏ ఫీల్డ్ ఏ ARN కలిగి ఉంది, ఏ CA క్లయింట్ సర్టిఫికెట్ జారీ చేసింది, ఎండ్‌పాయింట్ నిజంగా ఏ ప్రామాణీకరణ పద్ధతిని వాడుతోంది అని రాయండి. మూడు వరుసల రికార్డు తదుపరి పునరుద్ధరణను విచారణకు బదులు ఒక పనిగా మారుస్తుంది.