Chứng chỉ hiện trong Windows nhưng OpenVPN không dùng được khóa của nó

Chứng chỉ hiện trong trình xem chứng chỉ của Windows, và ứng dụng khách vẫn không dùng được nó. Nhìn thấy một chứng chỉ chỉ chứng minh rằng có một đối tượng công khai trong một kho. Nó không chứng minh rằng tiến trình kết nối tìm thấy khóa riêng khớp hay được phép dùng khóa đó.

Ba đối tượng phải khớp nhau. Chứng chỉ được chọn, khóa riêng phía sau nó và tài khoản mà ứng dụng khách chạy dưới đó là những thứ riêng biệt, và mỗi thứ đều có thể hỏng một mình.

Ba đối tượng, ba câu trả lời

Trên Windows, bản cộng đồng của OpenVPN tài liệu hóa một bộ chọn kho CryptoAPI, cryptoapicert, nhận dấu vân tay. Giá trị phải chỉ ra chứng chỉ bạn thực sự định dùng, không phải một chứng chỉ khác có tên tương tự. Các ứng dụng khác dựa trên OpenVPN có thể có mô hình nhập hoàn toàn khác, nên bộ chọn chỉ là bằng chứng cho bản dựng tài liệu hóa nó. Hãy xác nhận ứng dụng khách của bạn triển khai cơ chế này trước khi gỡ lỗi bất cứ thứ gì ở phía sau.

Nếu bản dựng không hỗ trợ bộ chọn, giải pháp là một định dạng hồ sơ khác, không phải một chứng chỉ khác.

Bộ chọn có phân giải đúng danh tính

Một chứng chỉ công khai có thể được nhập mà không có khóa riêng của nó. Trình xem vẫn hiển thị nó trong cả hai trường hợp, và đó là lý do sự cố này trông như ứng dụng khách phớt lờ một chứng chỉ rõ ràng đang có. Hãy kiểm tra liên kết khóa, không chỉ sự hiện diện của mục nhập.

Một chứng chỉ được gia hạn thêm một cái bẫy thứ hai. Cả hai mục nhập có thể nằm trong kho trong khi hồ sơ vẫn nêu dấu vân tay cũ hơn, và ứng dụng khách tiếp tục chọn danh tính mà bạn muốn cho ngừng dùng.

Hãy kiểm tra bộ chọn phân giải tới danh tính nào trước khi xem quyền. Một dấu vân tay sai hỏng giống như một khóa bị thiếu.

Tài khoản này có dùng được khóa không

Quyền truy cập khóa là theo từng tài khoản. Một dịch vụ, một tác vụ được lên lịch và một phiên máy tính tương tác có thể có góc nhìn khác nhau về kho và quyền khác nhau để dùng khóa riêng. Việc chứng chỉ hiện trong phiên của chính bạn không nói gì về tài khoản dịch vụ.

Một khóa được phần cứng hỗ trợ có thể cần nhà cung cấp của nó và một bước xác nhận. Một dịch vụ không thể hiển thị lời nhắc sẽ không được cứu bằng cách xuất khóa ra một tệp thông thường.

Hãy đọc lỗi cục bộ trước khi thay đổi bất cứ điều gì. Lỗi chọn, lỗi ký và sự từ chối từ máy chủ là ba kết quả khác nhau. Chỉ hai trường hợp đầu là cục bộ. Trường hợp thứ ba nghĩa là khóa đã hoạt động và máy chủ đã quyết định chống lại chứng chỉ.

Dùng cục bộ không phải là chấp nhận từ máy chủ

Thành công cục bộ không phải là ủy quyền. Sau khi ứng dụng khách ký bằng khóa của nó, máy chủ vẫn đánh giá nhà phát hành, cửa sổ hiệu lực, vai trò và chính sách truy cập của nó. Một chứng chỉ khác từ cùng CA không tự động mang cùng quyền VPN.

Máy chủ cần chuỗi tin cậy, không phải bản sao khóa riêng của ứng dụng khách. Gửi khóa đến máy chủ không bao giờ là cách sửa một vấn đề xác minh.

Xử lý sự cố theo thứ tự

Giữ nguyên văn bản lỗi chính xác. Việc thiếu quyền trên khóa không nên trở thành thay đổi CA, và sự từ chối từ máy chủ không nên trở thành sửa chữa kho. Mỗi thứ có bằng chứng riêng.

Làm việc theo thứ tự sự cố xuất hiện: bộ chọn, khóa, tài khoản, rồi chính sách máy chủ. Tài liệu tham khảo ứng dụng khách của cộng đồng ghi lại bộ chọn kho của Windows cho phiên bản bạn chạy.