Сертифікат видно у Windows, але OpenVPN не може використати його ключ

Сертифікат видно в переглядачі сертифікатів Windows, і все ж клієнт не може ним скористатися. Бачити сертифікат означає лише те, що у сховищі існує відкритий об’єкт. Це не доводить, що процес з’єднання знайде відповідний закритий ключ або що йому дозволено ним користуватися.

Три об’єкти мають збігтися. Вибраний сертифікат, закритий ключ за ним і обліковий запис, під яким працює клієнт, — різні речі, і кожна може відмовити сама по собі.

Три об’єкти, три відповіді

Спільнотна версія OpenVPN для Windows документує селектор сховища CryptoAPI, cryptoapicert, який приймає відбиток. Значення має вказувати на сертифікат, який ви справді збираєтеся використовувати, а не на інший зі схожим ім’ям. Інші програми на основі OpenVPN можуть мати зовсім іншу модель імпорту, тому селектор є доказом лише для тієї збірки, яка його документує. Переконайтеся, що ваш клієнт реалізує цей механізм, перш ніж щось налагоджувати далі.

Якщо збірка не підтримує селектор, рішення — інший формат профілю, а не інший сертифікат.

Чи веде селектор до правильної ідентичності

Відкритий сертифікат можна імпортувати без закритого ключа. Переглядач покаже його в обох випадках, і саме тому ця несправність виглядає так, ніби клієнт ігнорує явно наявний сертифікат. Перевіряйте зв’язок із ключем, а не лише наявність запису.

Оновлений сертифікат додає другу пастку. Обидва записи можуть залишатися у сховищі, поки профіль усе ще називає старіший відбиток, і клієнт продовжує вибирати ту ідентичність, яку ви хотіли вивести з ужитку.

Перш ніж дивитися на права, перевірте, до якої ідентичності веде селектор. Неправильний відбиток відмовляє так само, як відсутній ключ.

Чи може цей обліковий запис використати ключ

Доступ до ключа обліковується за обліковим записом. Служба, заплановане завдання й інтерактивний сеанс робочого столу можуть мати різні уявлення про сховище та різні права на використання закритого ключа. Те, що сертифікат видно у вашому власному сеансі, нічого не каже про обліковий запис служби.

Ключу з апаратною підтримкою можуть знадобитися його постачальник і крок підтвердження. Службу, яка не може показати запит, не врятує експорт ключа у звичайний файл.

Прочитайте локальну помилку, перш ніж щось змінювати. Збій вибору, збій підпису й відмова сервера — три різні результати. Лише перші два локальні. Третій означає, що ключ спрацював, а сервер вирішив проти сертифіката.

Локальне використання не є згодою сервера

Локальний успіх — не дозвіл. Навіть після того, як клієнт підпише своїм ключем, сервер і далі оцінює видавця, строк дії, роль і власну політику доступу. Інший сертифікат від того самого центру сертифікації не дає автоматично тих самих прав VPN.

Серверу потрібен ланцюг довіри, а не копія закритого ключа клієнта. Надсилання ключа на сервер ніколи не є виправленням проблеми перевірки.

Розбирайте збій за порядком

Зберігайте точний текст помилки. Відсутність права на ключ не повинна перетворюватися на зміну центру сертифікації, а відмова сервера — на ремонт сховища. Кожен має власні докази.

Працюйте в тому порядку, у якому з’являється збій: селектор, ключ, обліковий запис, потім політика сервера. Довідник спільноти щодо клієнта описує селектор сховища Windows для тієї версії, яку ви запускаєте.