Ang tamang VPN password ay hindi kapalit ng nawawalang sertipiko

Tama ang mga kredensyal, malinis na naaangkat ang profile, at nabibigo pa rin ang koneksyon bago matapos ang pagpapatotoo. Sa Windows ang mensahe ay maaaring error 798, tungkol sa sertipikong hindi natagpuan para sa paraang EAP. Sa OpenVPN ang log ng kliyente ay nagpapakita ng TLS handshake na hindi kailanman nasiyahan ang server. Pareho nilang inilalarawan ang iisang nawawalang bagay: isang sertipiko ng kliyente na dapat sanang iniharap ng kliyente.

Ang password ay nagpapatunay ng kaalaman sa isang lihim; ang sertipiko ay nagpapatunay ng pagmamay-ari ng isang susi, at hindi kapalit ng isa ang isa.

Hindi kailanman ang password ang problema

Ang error 798 ay bigong paghahanap ng sertipiko. Hiningan ang kliyente ng sertipikong tumutugma sa nakaayos na paraan ng pagpapatotoo, hinanap nito ang sarili nitong tindahan at wala itong nakitang magagamit. Maaaring ibig sabihin nito na wala ang sertipiko, naroroon ito nang walang pribadong susi, nag-expire na, o nakatago sa lugar na hindi naaabot ng paghahanap. Ang muling pagsubok sa password ay hindi makapagbabago ng alinman sa mga kondisyong iyon, kaya bumabalik ang error kahit tama ang mga kredensyal.

Basahin ang mensahe bago kumilos. Ang pagtanggi sa kredensyal, bigong paghahanap ng sertipiko at bigong TLS handshake ay tatlong magkakaibang natuklasan, at isa lamang ang may kinalaman sa password.

Ano ang dapat taglayin ng tindahan ng kliyente

Dalawang bagay ang kasangkot. Ang sertipiko ng kliyente ay dapat nakainstal para sa gumagamit na nagpapatakbo ng kliyente ng VPN, kasama ang pribadong susi nito, at ang naglalabas na ugat ay dapat pagkatiwalaan. Ang file na .cer ay naglalaman lamang ng pampublikong sertipiko, kaya hindi ito makapagpapatotoo ng anuman nang mag-isa. Sa tagapamahala ng sertipiko ng Windows, ang pagkakakilanlan ng kliyente ay kabilang sa personal na tindahan ng kasalukuyang gumagamit, at ang ugat sa tindahan ng mga pinagkakatiwalaang ugat.

Ang pag-install ng pagkakakilanlan sa tindahan ng makina, o sa tindahan ng ugat lamang, ay hindi tumutugon sa paghahanap na nakatuon sa personal na tindahan ng gumagamit. Suriin nang sabay ang tindahan, ang flag ng pribadong susi at ang mga petsa ng bisa, pagkatapos ay i-restart ang kliyente upang muli nitong basahin ang tindahan.

Dalawang produkto, isang nawawalang kredensyal

Ang mga server ng OpenVPN ay nangangailangan ng sertipiko ng kliyente bilang default. Ang pagdaragdag ng auth-user-pass sa isang kliyente ay nagpapadala ng username at password, at ang TLS handshake ay humihingi pa rin ng sertipiko, kaya ang password lamang ay hindi makapagtatapos ng koneksyon sa ilalim ng verify-client-cert require. Maaaring iayos ang server na huwag mangailangan ng anuman, na ginagawang ang password ang tanging kredensyal ng kliyente at ito ay tunay na paghina. Ang isang shell script sa likod ng auth-user-pass-verify ay makapagpapatunay ng mga kredensyal, at nangangailangan ito ng naka-enable na pagpapatakbo ng script, na ginagawa itong mas mapanganib na disenyo kaysa sa maayos na backend ng pagpapatotoo.

Ang profile na umaasa lamang sa password ay umaasa rin sa mga itinutulak na opsyon, na umaasa naman sa pagiging aktibo ng mekanismo ng paghila.

Huwag ayusin ang nawawalang sertipiko sa pamamagitan ng pagpatay ng mga pagsusuri

Ang tukso ay luwagan ang pagpapatunay upang mawala ang mensahe. Inaalis nito ang kontrol na gumaganap ng trabaho nito at nag-iiwan ng koneksyong hindi na nagpapatunay ng sinasabi nito. Kung kamakailan lang ay pinalitan ng gateway ang ugat nito, muling i-download ang pakete ng kliyente sa halip na i-edit ang profile, dahil maaaring taglay pa rin ng lumang pakete ang dating ugat. Kung wala ang opsyon ng pagpapatotoo sa sertipiko sa editor ng profile, maaaring hindi inilalantad ng nakainstal na bersyon ng Windows ang paraang iyon; i-update ang sistema sa halip na i-edit ang XML nang manu-mano.

Itala kung aling tindahan ang may sertipiko, sinong gumagamit ang nagpatakbo ng kliyente at kung naroon ang pribadong susi. Ang tatlong ito ay nagpapaliwanag sa halos lahat ng pagkakataon ng bigong ito.

Maayos ang password. Ang kredensyal na talagang kailangan ng paraan ay nasa ibang lugar.