AWS Client VPN: chứng chỉ máy chủ so với vai trò của chứng chỉ máy khách

Một điểm cuối Client VPN luôn cần chứng chỉ TLS của máy chủ. Đó là danh tính mà điểm cuối được quản lý trình ra khi máy khách kết nối. Đây là một đối tượng khác với các chứng chỉ mà từng máy khách trình ra khi dùng xác thực tương hỗ. Nhầm lẫn hai thứ này là lý do phổ biến nhất khiến một thiết lập ACM vốn đúng vẫn thất bại ở kết nối đầu tiên.

Dưới đây là một lượt đi từ bảng điều khiển ra ngoài, theo đúng thứ tự mà một kết nối thực sự đi qua.

Hai vai trò, một điểm cuối

Điểm cuối sở hữu một danh tính máy chủ và, tùy chọn, một cách để xác minh danh tính máy khách. Hai thứ này được cấu hình riêng. Một bên quyết định liệu máy khách có thể tin tưởng dịch vụ hay không; bên kia quyết định liệu dịch vụ có chấp nhận máy khách hay không.

Hãy đọc bảng như ba yêu cầu độc lập thay vì một chứng chỉ duy nhất. Chứng chỉ máy chủ và khóa riêng của nó ở lại với dịch vụ. Chứng chỉ máy khách và khóa riêng tương ứng nằm trên thiết bị. Vật liệu CA là thứ mà bên xác minh dùng để kiểm tra chuỗi. Chỉ hàng giữa là từng thuộc về một máy tính xách tay.

Chứng chỉ máy chủ ACM làm gì

Khi tạo điểm cuối, chứng chỉ máy chủ phải có sẵn trong ACM ở cùng Vùng với điểm cuối. Bảng điều khiển yêu cầu một ARN, và ARN đó phải phân giải được ở đó. ACM có thể giữ chứng chỉ bạn đã cấp phát bằng xác thực tên miền, hoặc chứng chỉ bạn đã nhập cùng với khóa và chuỗi của nó. Cả hai đều dùng được trong vai trò này; chúng khác nhau ở việc gia hạn và ở việc ai giữ khóa riêng.

Hãy chọn con đường cấp phát phù hợp với người có thể gia hạn chứng chỉ, không phải con đường tình cờ tạo ra một tệp trông có vẻ hợp lệ.

Xác thực tương hỗ bổ sung gì

Chọn xác thực máy khách dựa trên chứng chỉ bổ sung câu hỏi thứ hai: những máy khách nào được phép kết nối. Mỗi máy khách trình chứng chỉ riêng và chứng minh việc nắm giữ khóa riêng tương ứng. Chính các danh tính riêng biệt mới khiến việc thu hồi có chọn lọc trở nên khả thi về sau. Sao chép một khóa máy khách sang mọi thiết bị là âm thầm vứt bỏ đặc tính đó, ngay cả khi chứng chỉ máy chủ đã được lấy một cách hoàn hảo.

Phương thức xác thực của điểm cuối là một lựa chọn, không phải yêu cầu phổ quát.

Active Directory và xác thực liên kết trả lời cùng câu hỏi đó bằng cách khác. Một công thức chứng chỉ tương hỗ không tự động là thiết kế đăng nhập cho những triển khai đó, và việc xác minh TLS của máy chủ vẫn giữ nguyên bất kể người dùng được chấp nhận như thế nào.

Vì sao cùng một ARN CA không phải là chia sẻ khóa

AWS ghi rõ rằng khi chứng chỉ máy chủ và máy khách được cùng một CA cấp, ARN của chứng chỉ máy chủ cũng có thể được dùng cho việc chọn chứng chỉ máy khách. Câu đó nói về việc điểm cuối tin chuỗi nào khi xác minh. Nó không bảo máy khách dùng khóa riêng của máy chủ. Máy tính xách tay vẫn cần chứng chỉ máy khách riêng và khóa tương ứng riêng.

Khi CA của máy khách là một nhà phát hành khác, con đường được ghi nhận là nhập CA đó vào ACM và chọn nó cho vai trò máy khách.

Truy ngược sự cố về một giai đoạn

Xác định giai đoạn nào đang hỏng trước khi thay thế bất cứ thứ gì. Nếu máy khách từ chối điểm cuối, ARN của máy chủ hoặc chuỗi của nó là đối tượng bị nghi. Nếu điểm cuối từ chối máy khách, hãy xem chứng chỉ máy khách, nhà phát hành của nó và phương thức xác thực đã chọn. Nếu đường hầm dựng lên mà lưu lượng vẫn hỏng, bạn đã vượt qua phần chứng chỉ.

Thay từng đối tượng một, vì đổi cả hai đầu cùng lúc sẽ tái tạo sự mơ hồ mà bạn khởi đầu.

Cũng hãy kiểm tra các thuật toán khóa được hỗ trợ và các tiện ích mở rộng bắt buộc của dịch vụ cho vai trò cụ thể. Một chứng chỉ làm hài lòng một trang web công khai không phải bằng chứng rằng mọi yêu cầu danh tính của Client VPN đã được đáp ứng.

Ghi lại trường nào giữ ARN nào, CA nào đã cấp chứng chỉ máy khách và điểm cuối thực sự dùng phương thức xác thực nào. Ba dòng ghi chép biến lần gia hạn tiếp theo thành một nhiệm vụ thay vì một cuộc điều tra.