Het jy Easy-RSA nodig vir OpenVPN? Dit hang af van wie die CA besit

’n Handleiding sê jy moet Easy-RSA installeer voordat jy OpenVPN, so mense aanvaar die twee is ’n pakket. Hulle is nie. Easy-RSA is ’n PKI-bestuursnutsgoed wat OpenSSL dryf; OpenVPN is die tonnel. Een besluit wie vertrou moet word, die ander skuif pakkies.

Die vergelyking wat saak maak is nie watter gereedskap beter is nie. Dit is watter een die uitreiker in jou organisasie besit.

Wat Easy-RSA werklik is

Die projek beskryf homself as ’n X.509 PKI-bestuursnutsgoed met OpenSSL wat die kriptografiese werk doen. Dit beteken dit verpak sleutelgenerering, sertifikaatversoeke, ondertekeningsbeleid en herroeping in ’n herhaalbare gidsuitleg. Dit voeg nie ’n enkripsielaag by ’n gevestigde tonnel nie, en dit maak RSA nie sterker as dieselfde sleutel wat deur ’n ander bevoegde gereedskap geproduseer word nie. Wat dit doen, is om die werkvloei ouditeerbaar te maak.

Dit is ’n werklike voordeel, maar dit is ’n operasionele voordeel eerder as ’n kriptografiese een.

Volg een skootrekenaar deur die inskrywing

’n Nuwe skootrekenaar genereer sy eie sleutel en dien ’n sertifikaatversoek in, so die private sleutel verlaat nooit die toestel nie. Die uitreiker onderteken dan daardie versoek met ’n tipe wat die regte uitbreidings vir ’n kliëntrol kies. In Easy-RSA is dit ./easyrsa sign-req client laptop-a.

Die operateur moet steeds besluit dat hierdie persoon toegang verdien. Geen ondertekeningsnutsgoed lei toegang af uit ’n algemene naam nie.

Die ondertekende sertifikaat gaan terug na die toestel met die ooreenstemmende sleutel, en die VPN-ontplooiing verskaf afsonderlik bedienervertroue, identiteitskontroles, netwerkbeleid en rekeningvereistes. ’n Lêer in die uitreiker se uitsetgids bewys niks daarvan nie. Slegs ’n voltooide handskud bewys dit.

Volg dieselfde skootrekenaar uit

Verwydering is waar die uitreiker se keuse werklik wys. ’n Bruikbare werkvloei identifiseer die sertifikaat, teken die herroeping aan en lewer wat vertrouende stelsels nodig het om dit te verwerp. Easy-RSA skei ./easyrsa revoke laptop-a van ./easyrsa gen-crl, en die tweede stap is die een wat mense vergeet. Om ’n CRL by die uitreiker te genereer, lewer dit nie aan enige VPN-verifieerder nie.

Verspreiding, herlaaigedrag en wat gebeur met sessies wat reeds gevestig is, is ontplooiingsbesluite, nie nutsgoedkenmerke nie.

Daardie gaping is die praktiese argument vir ’n gevestigde werkvloei bo ’n hoop ad-hoc openssl-opdragte. Die moeilike deel van die bestuur van ’n uitreiker is nie die eerste sertifikaat nie. Dit is om uitreikingsrekords, rugsteune, hernuwings en verwyderings samehangend te hou soos toestelle kom en gaan.

Wanneer ’n uitreiker reeds bestaan

As jou organisasie reeds ’n goedgekeurde sertifikaatdiens bedryf, skryf daardeur in. Om ’n tweede CA op te rig omdat ’n handleiding Easy-RSA-opdragte ingesluit het, skep vertroueverspreidingswerk, rugsteunwerk en ’n tweede ding wat korrek herroep moet word.

’n Plaaslike uitreiker is ’n verbintenis om ’n CA te bedryf, nie ’n merkblokkie in ’n opstelgids nie.

Wanneer Easy-RSA die regte keuse is

Vir ’n klein private ontplooiing wat werklik sy eie uitreiker nodig het, gee Easy-RSA ’n gefokusde werkvloei sonder om elke operasie met die hand saam te stel. Die opstroom-Easy-RSA-gids dek die versoek-, onderteken-, herroep- en CRL-stappe in volgorde. Hou die CA-ondertekeningsmateriaal by sy aangewese eienaar; kliënte het hul eie geloofsbriewe en die relevante openbare vertroue nodig, nooit ’n kopie van die ondertekeningsleutel nie.

’n PIN-gebaseerde OpenVPN-ontwerp is ’n ander wettige vertrouensreëling, nie ’n gebroke PKI wat wag om herstel te word nie. En rekeningaanmelding verwyder nie die noodsaak om die bediener te verifieer onder watter protokol jy ook al gekies het nie.

Beantwoord vier vrae voordat jy kies: wie keur ’n nuwe identiteit goed, waar sy private sleutel woon, hoe die sertifikaat by die kliënt uitkom, en hoe ’n afgetrede identiteit ophou om aanvaar te word.