รหัสผ่าน VPN ที่ถูกต้องไม่อาจแทนที่ใบรับรองที่หายไป

ข้อมูลรับรองถูกต้อง โปรไฟล์นำเข้าได้อย่างเรียบร้อย แต่การเชื่อมต่อยังล้มเหลวก่อนการพิสูจน์ตัวตนจะเสร็จ ใน Windows ข้อความอาจเป็นข้อผิดพลาด 798 เกี่ยวกับใบรับรองที่ไม่พบสำหรับวิธี EAP บน OpenVPN บันทึกไคลเอนต์แสดงการจับมือ TLS ที่ไม่เคยทำให้เซิร์ฟเวอร์พอใจ ทั้งสองอธิบายวัตถุเดียวกันที่หายไป คือใบรับรองไคลเอนต์ที่ไคลเอนต์ควรนำเสนอ

รหัสผ่านพิสูจน์ความรู้ในความลับ ส่วนใบรับรองพิสูจน์การครอบครองกุญแจ และสิ่งหนึ่งไม่อาจแทนที่อีกสิ่งหนึ่ง

รหัสผ่านไม่เคยเป็นปัญหา

ข้อผิดพลาด 798 คือการค้นหาใบรับรองล้มเหลว ไคลเอนต์ถูกขอใบรับรองที่ตรงกับวิธีพิสูจน์ตัวตนที่กำหนดไว้ จึงค้นหาที่เก็บของตนและไม่พบสิ่งที่ใช้ได้ ซึ่งอาจหมายความว่าใบรับรองหายไป มีอยู่โดยไม่มีกุญแจส่วนตัว หมดอายุ หรือถูกเก็บไว้ในที่ที่การค้นหาไปไม่ถึง การลองรหัสผ่านอีกครั้งไม่อาจเปลี่ยนเงื่อนไขเหล่านี้ได้ จึงเป็นเหตุให้ข้อผิดพลาดกลับมาอีกแม้ข้อมูลรับรองจะถูกต้อง

อ่านข้อความก่อนลงมือ การปฏิเสธข้อมูลรับรอง การค้นหาใบรับรองล้มเหลว และการจับมือ TLS ล้มเหลวเป็นสามสิ่งที่แตกต่างกัน และมีเพียงหนึ่งเดียวที่เกี่ยวกับรหัสผ่าน

ที่เก็บของไคลเอนต์ต้องมีอะไรบ้าง

มีสองวัตถุที่เกี่ยวข้อง ใบรับรองไคลเอนต์ต้องติดตั้งสำหรับผู้ใช้ที่เรียกใช้ไคลเอนต์ VPN พร้อมกุญแจส่วนตัว และต้องเชื่อถือรากที่ออกใบรับรอง ไฟล์ .cer มีเพียงใบรับรองสาธารณะ จึงไม่อาจพิสูจน์ตัวตนสิ่งใดได้ด้วยตัวเอง ในตัวจัดการใบรับรองของ Windows ตัวตนของไคลเอนต์อยู่ในที่เก็บส่วนบุคคลของผู้ใช้ปัจจุบัน และรากอยู่ในที่เก็บรากที่เชื่อถือได้

การติดตั้งตัวตนไว้ในที่เก็บของเครื่อง หรือเฉพาะในที่เก็บราก ไม่ทำให้การค้นหาที่มุ่งไปยังที่เก็บส่วนบุคคลของผู้ใช้สำเร็จ ตรวจสอบที่เก็บ สถานะกุญแจส่วนตัว และวันหมดอายุไปพร้อมกัน แล้วรีสตาร์ตไคลเอนต์เพื่อให้อ่านที่เก็บใหม่

สองผลิตภัณฑ์ ข้อมูลรับรองที่หายไปเดียวกัน

เซิร์ฟเวอร์ OpenVPN ต้องการใบรับรองไคลเอนต์ตามค่าเริ่มต้น การเพิ่ม auth-user-pass ให้ไคลเอนต์จะส่งชื่อผู้ใช้และรหัสผ่าน และการจับมือ TLS ยังคงขอใบรับรอง ดังนั้นรหัสผ่านเพียงอย่างเดียวไม่อาจทำให้การเชื่อมต่อสำเร็จภายใต้ verify-client-cert require เซิร์ฟเวอร์สามารถตั้งให้ไม่ต้องการสิ่งใด ซึ่งทำให้รหัสผ่านเป็นข้อมูลรับรองเดียวของไคลเอนต์ และเป็นการลดความแข็งแกร่งจริง สคริปต์ shell เบื้องหลัง auth-user-pass-verify สามารถตรวจสอบข้อมูลรับรองได้ และต้องเปิดใช้งานการรันสคริปต์ ซึ่งทำให้เป็นดีไซน์ที่เสี่ยงกว่าหลังบ้านการพิสูจน์ตัวตนที่เหมาะสม

โปรไฟล์ที่พึ่งรหัสผ่านอย่างเดียวก็ขึ้นกับตัวเลือกที่ถูกส่งมา ซึ่งขึ้นกับการเปิดใช้งานกลไกการดึงอีกทอดหนึ่ง

อย่าแก้ใบรับรองที่หายไปด้วยการปิดการตรวจสอบ

สิ่งล่อใจคือการผ่อนการตรวจสอบเพื่อให้ข้อความหายไป แต่การทำเช่นนั้นจะถอดการควบคุมที่ทำหน้าที่ของมันออก และเหลือการเชื่อมต่อที่ไม่พิสูจน์สิ่งที่อ้างอีกต่อไป หากเกตเวย์เพิ่งเปลี่ยนรากของตน ให้ดาวน์โหลดแพ็กเกจไคลเอนต์ใหม่แทนการแก้โปรไฟล์ เพราะแพ็กเกจเก่าอาจยังมีรากเดิมอยู่ หากตัวเลือกการพิสูจน์ตัวตนด้วยใบรับรองหายไปจากตัวแก้ไขโปรไฟล์ Windows ที่ติดตั้งไว้อาจไม่แสดงวิธีนั้น ให้อัปเดตระบบแทนการแก้ XML ด้วยมือ

บันทึกว่าที่เก็บใดมีใบรับรอง ผู้ใช้คนใดเรียกใช้ไคลเอนต์ และมีกุญแจส่วนตัวอยู่หรือไม่ สามอย่างนี้อธิบายเกือบทุกกรณีของความล้มเหลวนี้

รหัสผ่านไม่เป็นปัญหา ข้อมูลรับรองที่วิธีนั้นต้องการจริงอยู่ที่อื่น