AWS Client VPN: server sertifikati va mijoz sertifikatining roli
Yakuniy nuqtaning server sertifikati xizmatni isbotlaydi. O‘zaro autentifikatsiya server kalitini bo‘lishmasdan har bir mijoz uchun shaxsiyat va CA ishonchini qo‘shadi.
Client VPN yakuniy nuqtasiga doim TLS server sertifikati kerak. Bu boshqariladigan yakuniy nuqta mijoz ulanganda taqdim etadigan shaxsiyatdir. Bu o‘zaro autentifikatsiya ishlatilganda alohida mijozlar taqdim etadigan sertifikatlardan boshqa obyekt. Bu ikkisini aralashtirish boshqa jihatdan to‘g‘ri ACM sozlamasining birinchi ulanishdayoq muvaffaqiyatsiz bo‘lishining eng keng tarqalgan sababidir.
Quyida konsoldan tashqariga, ulanish haqiqatan o‘tadigan tartibda ko‘rib chiqish berilgan.
Ikki rol, bitta yakuniy nuqta
Yakuniy nuqtaning server shaxsiyati va ixtiyoriy ravishda mijozlar shaxsiyatini tekshirish usuli bor. Bular alohida sozlanadi. Biri mijoz xizmatga ishona oladimi deganini hal qiladi; ikkinchisi xizmat mijozni qabul qiladimi deganini hal qiladi.
| Material | Purpose | Where it lives |
|---|---|---|
| Server certificate and private key | The managed endpoint proves its TLS identity | ACM, in the endpoint's Region |
| Client certificate and matching key | An individual client proves its identity | On the device |
| CA trust material | The verifier checks the issuer chain | Selected for the client role |
Jadvalni bitta sertifikat emas, uchta mustaqil talab sifatida o‘qing. Server sertifikati va uning shaxsiy kaliti xizmatda qoladi. Mijoz sertifikati va unga mos shaxsiy kalit qurilmada bo‘ladi. CA materiali tekshiruvchi zanjirni tekshirish uchun ishlatadigan narsadir. Faqat o‘rta qator noutbukka tegishli.
ACM server sertifikati nima qiladi
Yakuniy nuqtani yaratganda server sertifikati ACMda yakuniy nuqta bilan bir regionda mavjud bo‘lishi kerak. Konsol ARN so‘raydi va u ARN o‘sha yerda hal bo‘lishi kerak. ACM domen tasdiqlash bilan olingan sertifikatni yoki kaliti va zanjiri bilan birga import qilingan sertifikatni saqlashi mumkin. Ikkalasi ham bu rolda ishlaydi; ular yangilash va shaxsiy kalit kimda ekanligi bilan farq qiladi.
Sertifikatni kim yangilay olishiga mos ta’minlash yo‘lini tanlang, tasodifan to‘g‘ri ko‘rinadigan fayl yaratgan yo‘lni emas.
O‘zaro autentifikatsiya nima qo‘shadi
Sertifikatga asoslangan mijoz autentifikatsiyasini tanlash ikkinchi savolni qo‘shadi: qaysi mijozlar umuman ulanadi. Har bir mijoz o‘z sertifikatini taqdim etadi va mos shaxsiy kalitga ega ekanini isbotlaydi. Aynan alohida shaxsiyatlar keyinchalik tanlab bekor qilishni mumkin qiladi. Bitta mijoz kalitini har bir qurilmaga ko‘chirish bu xususiyatni jimgina tashlab yuboradi, hatto server sertifikati benuqson olingan bo‘lsa ham.
Yakuniy nuqtaning autentifikatsiya usuli tanlov, umumiy talab emas.
Active Directory va federativ autentifikatsiya xuddi shu savolga boshqa vositalar bilan javob beradi. O‘zaro sertifikat retsepti bu joylashtirishlar uchun avtomatik kirish dizayni bo‘la olmaydi va serverning TLS tekshiruvi foydalanuvchi qanday kiritilishidan qat’i nazar saqlanadi.
Nega bir xil CA ARN kalit bo‘lishishi emas
AWS server va mijoz sertifikatlari bir CA tomonidan berilganda server sertifikatining ARNini mijoz sertifikatini tanlash uchun ham ishlatish mumkinligini hujjatlashtiradi. O‘sha gap yakuniy nuqta tekshirishda qaysi zanjirga ishonishi haqida. U mijozlarga serverning shaxsiy kalitini ishlatishni aytmaydi. Noutbuk hali ham o‘z mijoz sertifikati va o‘z mos kalitiga muhtoj.
Mijozning CA si boshqa beruvchi bo‘lsa, hujjatlashtirilgan yo‘l o‘sha CAni ACMga import qilib, uni mijoz roli uchun tanlashdir.
Nosozlikni bosqichga qaytaring
Biror narsani almashtirishdan oldin qaysi bosqich muvaffaqiyatsizligini aniqlang. Mijoz yakuniy nuqtani rad etsa, shubhali server ARNi yoki uning zanjiri. Yakuniy nuqta mijozni rad etsa, mijoz sertifikati, uning beruvchisi va tanlangan autentifikatsiya usulini ko‘ring. Tunnel ko‘tarilib, trafik hali ham ishlamasa, siz sertifikatlardan o‘tib bo‘lgansiz.
Bir vaqtda bitta obyektni almashtiring, chunki ikkala uchni birga almashtirish siz boshlagan noaniqlikni qayta tug‘diradi.
Shuningdek muayyan rol uchun xizmat qo‘llab-quvvatlaydigan kalit algoritmlari va talab qilinadigan kengaytmalarni tekshiring. Ommaviy veb-saytni qanoatlantiradigan sertifikat Client VPNning barcha shaxsiyat talablari bajarilganining isboti emas.
Har bir maydonda qaysi ARN borligini, mijoz sertifikatini qaysi CA berganini va yakuniy nuqta aslida qaysi autentifikatsiya usulini ishlatishini yozib qo‘ying. Uch qator yozuv keyingi yangilashni tergov emas, topshiriqqa aylantiradi.