n VPN-kliënt byvoeg sonder om die CA te herbou: wanneer en hoe

Jy het nog een sertifikaat vir nog een skootrekenaar nodig, en die eerste handleiding in die soekresultate begin met n opdrag wat die PKI-gids uitwis. Daardie opdrag hoort by die eerste opstelling, nie by inskrywing nie, en dit kos jou die CA, die uitreikingsgeskiedenis en elke kliëntprofiel wat die ou uitreiker vertrou het. Die besluit is smaller: het jou uitreiker nog bruikbare toestand, en pas die nuwe toestel by jou inskrywingsbeleid? Drie voorwaardes bepaal dit, en net een regverdig ooit n herbou.

Wat n herbou werklik vernietig

Om n PKI te herinitialiseer vervang die gids met n leë struktuur: nuwe CA-sleutel en -sertifikaat, leë uitreikingsdatabasis en vars serienommer-teller. Kliënte volg nie vanself nie; hul profiele pen die ou CA vas, so elke bestaande toestel moet weer inskryf, en onbereikbare toestelle moet met die hand heringeskryf of vervang word.

Die stiller verlies is boekhouding. Herroeping hang daarvan af dat jy weet watter serienommers jy aan wie uitgereik het. Maak die indeks skoon en jy kan nog sertifiseer, maar nie meer met vertroue sê watter uitstaande sertifikate jy bedoel het om te herroep nie. n CA-gids met sertifikate sonder die ooreenstemmende uitreikertoestand is n rugsteun wat die verkeerde helfte herstel.

Om die CA-privaatsleutel langs die lopende bediener te kopieer, is die ander kortpad om te weier. Dit maak n ondertekeningsowerheid wat offline of in n beskermde stoor hoort, net nog n lêer op n gasheer wat onbetroubare verkeer termineer.

Voorwaarde een: is die uitreikertoestand nog bereikbaar?

Vind eers die gids wat die bediener werklik vertrou. Vergelyk die sertifikaat wat die bediener as CA aanbied met dié in jou PKI-gids, op vingerafdruk, nie op lêernaam nie:

openssl x509 -in ca.crt -noout -fingerprint -sha256
openssl x509 -in /etc/openvpn/ca.crt -noout -fingerprint -sha256

Stem die twee vingerafdrukke ooreen, is inskrywing bykomend en moet jy niks herbou nie. Verskil hulle, dan onderteken jy met n CA wat die bediener nie vertrou nie; die sertifikaat installeer skoon en misluk by die handskud, en daardie fout word vir ure as n kliëntfout verkeerd gediagnoseer.

Soek dan die uitreikingstoestand: indekslêer, serienommer-teller en CRL-nommerteller. Is die indeks weg maar die sleutel leef, kan jy uitreik, maar jy erf n probleem met die aanteken van herroepings. Merk dit in die veranderingsrekord eerder as om dit toe te smeer, want die volgende herroepingsversoek sal dit openbaar.

Voorwaarde twee: wie hou die nuwe privaatsleutel?

Dit is die besluit wat gebruikers voel, so besluit dit uitdruklik. n Kliëntgeskepte sleutel wat as versoek ingedien word, hou die privaat helfte van die eerste opdrag af op die toestel, en die administrateur hanteer dit nooit. n Bedienergeskepte sleutel is makliker vir toestelle sonder gereedskap vir n versoek, maar maak die administrateur die bewaarder van elke kliëntsleutel en vergroot die impak van n bediener-oorname.

Met Easy-RSA 3 teen n bestaande CA is die invoer en ondertekening van n versoek twee opdragte:

./easyrsa import-req /tmp/alice.req alice
./easyrsa sign-req client alice

Kies die sertifikaattipe doelbewus. n Versoek wat as bediener- eerder as kliënt-sertifikaat onderteken word, lewer n lêer wat goed lyk en deur die eweknie geweier word, en die fout sê selde waarom. Onderteken jy met openssl ca, leef dieselfde keuse in die uitbreidings wat jy meegee, nie in die verstekafdeling wat jy geërf het nie.

Voorwaarde drie: het die bediener meer as n sertifikaat nodig?

Vir n gewone OpenVPN-bediener met sertifikaatverifikasie is die sertifikaat die inskrywing: die algemene naam word die kliëntidentiteit, en enige kliëntgids, gestuurde roete of statiese adres hang van daardie naam af. Voeg die sertifikaat by en vergeet die kliëntkonfigurasie, en die tonnel verbind terwyl die nodige roetes nooit verskyn nie.

Platforms verander dit. OpenVPN Access Server hou sy eie gebruikersdatabasis, so n ondertekende sertifikaat is nie n rekening nie; die rekening moet bestaan en toegelaat wees voordat n sertifikaat saak maak. Ander gateways koppel n identiteitstring aan n groep. Een toestel inskryf raak gewoonlik twee stelsels, en die sertifikaat is net die eerste.

Die bykomende prosedure, en wanneer n herbou reg is

Die volgorde wat een toestel byvoeg sonder skade: bevestig die uitreiker op vingerafdruk, neem n vars rugsteun van die PKI-gids, voer die versoek vir die kliëntrol in en onderteken dit, lewer die sertifikaat met sy ketting deur die goedgekeurde kanaal, en verifieer voordat die gebruiker verbind:

openssl verify -CAfile ca.crt alice.crt
openssl x509 -in alice.crt -noout -subject -issuer -dates -purpose

Die doel-lyn moet SSL client wys. Werk die CA-rugsteun ná die uitreiking by, want n rugsteun van voor die nuwe serienommer herstel n toestand sonder die toestel wat jy pas bygevoeg het.

n Herbou is reg in drie situasies: die CA-sleutel is gekompromitteer, die uitreikingstoestand is onherstelbaar verlore, of jy verander doelbewus die sleutelalgoritme of sertifikaatbeleid. Al drie is projekte met n herinskrywingsplan vir elke kliënt, nie stappe in n een-toestel-versoek nie. Geld nie een nie, skryf bykomend in en los die uitreiker alleen.