ใบรับรองปรากฏใน Windows แต่ OpenVPN ใช้กุญแจของมันไม่ได้

ใบรับรองปรากฏในตัวดูใบรับรองของ Windows แต่ไคลเอนต์ก็ยังใช้มันไม่ได้ การเห็นใบรับรองพิสูจน์เพียงว่ามีวัตถุสาธารณะอยู่ในที่เก็บหนึ่งเท่านั้น ไม่ได้พิสูจน์ว่าโปรเซสเชื่อมต่อสามารถหากุญแจส่วนตัวที่เข้าคู่กันได้ หรือได้รับอนุญาตให้ใช้มัน

วัตถุสามอย่างต้องตรงกัน ใบรับรองที่เลือก กุญแจส่วนตัวที่อยู่ข้างหลัง และบัญชีที่ไคลเอนต์รันอยู่เป็นคนละสิ่ง และแต่ละอย่างล้มเหลวได้ด้วยตัวเอง

สามวัตถุ สามคำตอบ

ใน Windows นั้น OpenVPN รุ่นชุมชนมีเอกสารระบุตัวเลือกที่เก็บของ CryptoAPI, cryptoapicert, ซึ่งรับลายนิ้วมือ ค่าต้องระบุใบรับรองที่คุณตั้งใจใช้จริง ไม่ใช่ใบที่มีชื่อคล้ายกัน แอปพลิเคชันอื่นที่อิงกับ OpenVPN อาจมีรูปแบบการนำเข้าที่แตกต่างโดยสิ้นเชิง ดังนั้นตัวเลือกนี้จึงเป็นหลักฐานเฉพาะสำหรับบิลด์ที่ระบุไว้เท่านั้น ก่อนจะดีบักส่วนใดด้านล่าง ให้ยืนยันว่าไคลเอนต์ของคุณใช้งานกลไกนี้

หากบิลด์ไม่รองรับตัวเลือกนี้ ทางแก้คือรูปแบบโปรไฟล์อื่น ไม่ใช่ใบรับรองอื่น

ตัวเลือกนี้นำไปสู่ตัวตนที่ถูกต้องหรือไม่

ใบรับรองสาธารณะนำเข้าได้โดยไม่มีกุญแจส่วนตัว ตัวดูจะแสดงมันในทั้งสองกรณี และนั่นคือเหตุผลที่ความล้มเหลวนี้ดูเหมือนไคลเอนต์เพิกเฉยต่อใบรับรองที่เห็นได้ชัดว่ามีอยู่ ตรวจสอบการเชื่อมโยงกุญแจ ไม่ใช่แค่การมีรายการ

ใบรับรองที่ต่ออายุแล้วเพิ่มกับดักที่สอง รายการทั้งสองอาจอยู่ในที่เก็บขณะที่โปรไฟล์ยังระบุลายนิ้วมือเก่า และไคลเอนต์ยังเลือกตัวตนที่คุณต้องการปลดระวาง

ตรวจสอบว่าตัวเลือกนำไปสู่ตัวตนใดก่อนจะดูสิทธิ์ ลายนิ้วมือที่ผิดล้มเหลวแบบเดียวกับกุญแจที่หายไป

บัญชีนี้ใช้กุญแจได้หรือไม่

การเข้าถึงกุญแจเป็นรายบัญชี บริการ งานที่ตั้งเวลาไว้ และเซสชันเดสก์ท็อปแบบโต้ตอบอาจมีมุมมองที่เก็บและสิทธิ์ใช้กุญแจส่วนตัวต่างกัน การที่ใบรับรองปรากฏในเซสชันของคุณเองไม่ได้บอกอะไรเกี่ยวกับบัญชีบริการ

กุญแจที่หนุนด้วยฮาร์ดแวร์อาจต้องใช้ผู้ให้บริการและการยืนยันหนึ่งขั้น บริการที่ไม่สามารถแสดงพรอมต์จะไม่รอดจากการส่งออกกุญแจเป็นไฟล์ธรรมดา

อ่านข้อผิดพลาดภายในก่อนจะเปลี่ยนแปลงสิ่งใด ความล้มเหลวในการเลือก ความล้มเหลวในการลงนาม และการปฏิเสธจากเซิร์ฟเวอร์เป็นผลลัพธ์ที่ต่างกันสามอย่าง สองอย่างแรกเป็นภายในเท่านั้น อย่างที่สามหมายความว่ากุญแจทำงานและเซิร์ฟเวอร์ตัดสินใจคัดค้านใบรับรอง

การใช้ภายในไม่ใช่การยอมรับจากเซิร์ฟเวอร์

ความสำเร็จภายในไม่ใช่การอนุญาต หลังจากไคลเอนต์ลงนามด้วยกุญแจแล้ว เซิร์ฟเวอร์ยังประเมินผู้ออก ช่วงเวลาที่ใช้ได้ บทบาท และนโยบายการเข้าถึงของตน ใบรับรองอื่นจาก CA เดียวกันไม่ได้มีสิทธิ์ VPN เดียวกันโดยอัตโนมัติ

เซิร์ฟเวอร์ต้องการห่วงโซ่ความเชื่อถือ ไม่ใช่สำเนากุญแจส่วนตัวของไคลเอนต์ การส่งกุญแจไปยังเซิร์ฟเวอร์ไม่ใช่การซ่อมแซมปัญหาการตรวจสอบเลย

จัดการความล้มเหลวตามลำดับ

เก็บข้อความข้อผิดพลาดไว้ให้แม่นยำ การขาดสิทธิ์ในกุญแจไม่ควรกลายเป็นการเปลี่ยน CA และการปฏิเสธจากเซิร์ฟเวอร์ไม่ควรกลายเป็นการซ่อมที่เก็บ แต่ละอย่างมีหลักฐานของตัวเอง

ทำงานตามลำดับที่ความล้มเหลวปรากฏ ตัวเลือกที่เก็บ กุญแจ บัญชี แล้วจึงนโยบายเซิร์ฟเวอร์ เอกสารอ้างอิงไคลเอนต์ของชุมชน ระบุตัวเลือกที่เก็บของ Windows สำหรับเวอร์ชันที่คุณรัน