Doğru bir VPN parolası eksik sertifikanın yerini tutamaz

Kimlik bilgileri doğru, profil sorunsuz içe aktarılıyor ve bağlantı yine de kimlik doğrulama tamamlanmadan başarısız oluyor. Windows'ta mesaj, EAP yöntemi için bulunamayan bir sertifikayla ilgili 798 hatası olabilir. OpenVPN üzerinde istemci günlüğü, sunucuyu asla tatmin etmeyen bir TLS el sıkışması gösterir. İkisi de aynı eksik nesneyi anlatır: istemcinin sunması gereken istemci sertifikası.

Parola bir sırrın bilindiğini kanıtlar; sertifika bir anahtarın sahipliğini kanıtlar ve biri diğerinin yerini tutmaz.

Parola hiçbir zaman sorun değildi

798 hatası bir sertifika arama başarısızlığıdır. İstemciden yapılandırılmış kimlik doğrulama yöntemine uyan bir sertifika istendi, istemci kendi deposunu taradı ve kullanılabilir bir şey bulamadı. Bu, sertifikanın yok olduğu, özel anahtarı olmadan bulunduğu, süresinin dolduğu veya aramanın ulaşamadığı bir yerde saklandığı anlamına gelebilir. Parolayı yeniden denemek bu koşullardan hiçbirini değiştiremez, bu yüzden hata doğru kimlik bilgileriyle de geri döner.

Harekete geçmeden önce mesajı okuyun. Kimlik bilgilerinin reddedilmesi, sertifika arama başarısızlığı ve TLS el sıkışması başarısızlığı üç farklı bulgudur ve yalnızca biri parolayla ilgilidir.

İstemci deposunda ne bulunmalı

İki nesne söz konusudur. İstemci sertifikası, VPN istemcisini çalıştıran kullanıcı için özel anahtarıyla birlikte kurulmalı ve veren kök güvenilir olmalıdır. .cer dosyası yalnızca ortak sertifikayı içerir, bu yüzden tek başına hiçbir şeyin kimliğini doğrulayamaz. Windows sertifika yöneticisinde istemci kimliği geçerli kullanıcının kişisel deposuna, kök ise güvenilen kökler deposuna aittir.

Kimliği makine deposuna ya da yalnızca kök deposuna kurmak, kullanıcının kişisel deposunu hedefleyen bir aramayı karşılamaz. Depoyu, özel anahtar işaretini ve geçerlilik tarihlerini birlikte kontrol edin, ardından depoyu yeniden okuması için istemciyi yeniden başlatın.

İki ürün, aynı eksik kimlik bilgisi

OpenVPN sunucuları varsayılan olarak istemci sertifikası ister. Bir istemciye auth-user-pass eklemek bir kullanıcı adı ve parola gönderir ve TLS el sıkışması hâlâ sertifika ister, bu yüzden yalnızca parola verify-client-cert require altında bağlantıyı tamamlayamaz. Sunucu hiçbir şey istemeyecek şekilde ayarlanabilir; bu, parolayı istemcinin tek kimlik bilgisi yapar ve güçte gerçek bir azalmadır. auth-user-pass-verify arkasındaki shell betiği kimlik bilgilerini doğrulayabilir ve betik çalıştırmanın etkin olmasını gerektirir, bu da onu düzgün bir kimlik doğrulama arka ucundan daha riskli bir tasarım yapar.

Yalnızca parolaya dayanan bir profil, itilen seçeneklere de bağlıdır; bunlar da çekme mekanizmasının etkin olmasına bağlıdır.

Eksik sertifikayı denetimleri kapatarak düzeltmeyin

Cazibe, mesaj kaybolsun diye doğrulamayı gevşetmektir. Bu, işini yapan denetimi ortadan kaldırır ve artık iddiasını kanıtlamayan bir bağlantı bırakır. Ağ geçidi kısa süre önce kökünü değiştirdiyse, profili düzenlemek yerine istemci paketini yeniden indirin, çünkü eski paket hâlâ önceki kökü taşıyor olabilir. Profil düzenleyicide sertifika kimlik doğrulama seçeneği yoksa, kurulu Windows sürümü bu yöntemi sunmuyor olabilir; XML'i elle düzenlemek yerine sistemi güncelleyin.

Sertifikanın hangi depoda olduğunu, istemciyi hangi kullanıcının çalıştırdığını ve özel anahtarın bulunup bulunmadığını not edin. Bu üçü bu başarısızlığın neredeyse her vakasını açıklar.

Parola yerindeydi. Yöntemin gerçekte ihtiyaç duyduğu kimlik bilgisi başka bir yerdeydi.