AWS несколько сертификатов VPN-клиентов - PullRequest
4 голосов
/ 23 января 2020

Использование AWS Мне нужно убедиться, что у меня несколько клиентов, использующих сеть VPN. Каждый из клиентов будет использовать один и тот же сертификат сервера, который я создал ранее.

Теперь, используя эту документацию, мне удалось настроить свой VPN и подключиться к нему с помощью сгенерированного сертификата клиента. Это, конечно, только для одного клиента. Мне нужно, чтобы это было сделано для 3. Я не могу разделить один и тот же клиентский сертификат между ними, поскольку я хочу иметь возможность отозвать сертификат на человека.

При настройке конечной точки VPN я заметил, что должен был использовать «взаимную аутентификацию» «Так как у нас нет рекламы и мы ее не создадим. Для этого необходимо предоставить сертификат клиента при создании конечной точки.

Документация для создания сертификатов и ключей гласит:

Вы должны загружать сертификат клиента только в ACM, когда центр сертификации (эмитент) сертификата клиента отличается от центра сертификации (эмитента) сертификата сервера.

Так как я только что создал оба (клиент и сервер), используя шаги easyrsa, как упомянуто самой amazon, я не могу создать конечную точку, когда у меня нет сертификата клиента, загруженного в ACM , независимо от того, что загрузка, очевидно, не требуется.

Означает ли это, что мне нужно настроить N разных конечных точек (для каждого пользователя), когда я хочу, чтобы они использовали свои собственные сертификаты? Для меня это звучит довольно тяжело, особенно если у вас более 3 пользователей. В документации упоминается следующее:

Вы можете создать отдельный сертификат клиента и ключ для каждого клиента, который будет подключаться к клиентской VPN конечная точка .

(выделение мое)

Обратите внимание на одну «конечную точку» в отличие от множественного числа? Кто-нибудь может пролить свет на то, чего мне не хватает?

1 Ответ

5 голосов
/ 23 января 2020

При использовании опции взаимной аутентификации для вашей VPN (с ограничениями, касающимися той же проблемы в CA), тогда да, каждый из 3 клиентских сертификатов должен иметь возможность подключаться к одной и той же конечной точке, без необходимости загружать каждый клиентский сертификат в ACM.

...