Gebruik u bestaande ondernemings-CA vir OpenVPN-eweknieë

Niks in OpenVPN vereis dat die sertifikaat van Easy-RSA kom nie, en 'n vloot wat reeds 'n organisatoriese PKI het, behoort gewoonlik nie 'n tweede een te bou nie. Die werklike werk is nie om 'n instrument te kies nie, maar om te besluit wat die uitgereikte identiteite beteken, watter eweknieë die tonnel aanvaar, en hoe hernuwing en herroeping by die verifieerder uitkom. Werk die vyf stappe hieronder in volgorde deur, want 'n latere stap kan nie 'n rolbewissing wat in die eerste gemaak is, herstel nie.

Reik twee rolle uit eerder as een gedeelde identiteit

Elke eweknie het sy eie sertifikaat en ooreenstemmende private sleutel nodig. Vra die PKI-span om 'n bedieneridentiteit met bedienergebruik en aparte kliëntidentiteite met kliëntgebruik, sodat die tonnel die twee tydens die handdruk van mekaar kan onderskei.

Weerstaan die kortpaaie wat onder sperdatumdruk opduik. 'n Webserwer se sleutel wat op skootrekenaars gekopieer word, wis die onderskeid waarop die roltoets berus uit, en 'n CA-ondertekeningsleutel wat op 'n VPN-eindpunt geïnstalleer word, verander een gekompromitteerde gasheer in 'n gekompromitteerde hiërargie. 'n PKCS12-pakket kan 'n eindpuntsleutel en sy ketting dra, maar dit verleen nooit toestemming om daardie identiteit in 'n ander rol te hergebruik nie.

Koppel die vertrouensinsette aan elke kant

Die kliënt en die bediener het elkeen 'n vertrouensanker, hul eie identiteit en 'n eksplisiete rolverwagting nodig. 'n Kliëntfragment wat al drie noem, lyk so.

client
ca /etc/openvpn/pki/issuing-root.pem
cert /etc/openvpn/pki/device-17.crt
key /etc/openvpn/pki/device-17.key
remote-cert-tls server
verify-x509-name vpn.corp.example name
crl-verify /etc/openvpn/pki/issuing.crl

Die bedienerkant weerspieël dit met remote-cert-tls client en sy eie sertifikaat, en dit is wat verhoed dat 'n kliëntsertifikaat as 'n bediener aanvaar word. Die naamtoets is 'n afsonderlike besluit van die roltoets. Lees die ontplooide konfigurasie om te sien watter veld vergelyk word, eerder as om 'n tuisbladstyl-gasheernaam-passing te veronderstel. Beide kante moet ook eksplisiet wees oor watter uitreiker hulle vertrou, want 'n gedeelde lêerpad oor die vloot is nie dieselfde ding as 'n gedeelde beleid nie.

Lewer tussenliggende sertifikate sonder om vertroue te verbreed

Die twee kante hoef nie een uitreikketting te deel nie. Wanneer 'n eweknie 'n sertifikaat voorlê wat deur 'n tussenliggende sertifikaat onderteken is, het die verifiërende kant daardie tussenliggende sertifikaat beskikbaar nodig, en OpenVPN onderskei die vertrouensanker-invoer van die bykomende sertifikate wat gebruik word om 'n plaaslik voorgelêde ketting te voltooi. OpenVPN 2.6 TLS-opsieverwysing dokumenteer albei.

'n Tussenliggende CA is nie inherent 'n probleem nie, maar 'n breë ondernemingswortel wat in die vertrouensbundel gegooi word, is. Hoe wyer die anker, hoe meer sertifikate slaag die kettingtoets, en 'n roltoets verander dit nie in 'n lys gemagtigde personeel nie. Vernou die anker tot die uitreiker wat werklik VPN-identiteite onderteken waar die hiërargie dit toelaat. Indien nie, dokumenteer die wyer anker as 'n doelbewuste aanvaarde risiko eerder as om dit implisiet te laat.

Kom met die PKI-span ooreen hoe hernuwing en herroeping by die VPN-verifieerders uitkom, insluitend watter uitreikers saak maak en wie die lys publiseer. 'n CRL-verspreidingspunt wat in 'n sertifikaat ingebed is, is 'n instruksie, nie bewys dat iets dit gaan haal het nie.

Besluit hoe herroeping werklik arriveer

crl-verify laat die verifieerder 'n lêer of eindpunt raadpleeg, en daardie reëling het 'n eienaar en 'n verversingspad nodig. 'n Lys wat een keer tydens ontplooiing gekopieer word, hou op om jou te beskerm sodra 'n sertifikaat herroep word.

Skryf die verwagte verspreidingstyd neer en toets dit met 'n sertifikaat wat jy bereid is om te herroep. As die lys nie op die VPN-gasheer verfris kan word nie, is die alternatief 'n korter geldigheidsperiode plus 'n hernuwingsproses wat werklik loop, nie 'n aanname dat herroeping werk omdat 'n URL bestaan nie.

Bewys aanvaarding met 'n werklike kliënt

Verbind 'n kliënt wat toegelaat behoort te word en bevestig die onderhandelde sertifikaatbesonderhede in die log. Probeer dan die gevalle wat moet misluk: 'n kliëntsertifikaat wat as 'n bediener voorgelê word, 'n sertifikaat van 'n uitreiker buite die vertrouensanker, en 'n herroepte sertifikaat as jy een oor het.

Teken die aanvaarde uitreiker, die roltoets en die herroepingsbron langs die profiel aan. Daardie rekord is wat die volgende ingenieur nodig het wanneer 'n toestel wat verlede maand gewerk het, ophou verbind, en dit is ook die bewys dat die ondernemings-CA binne 'n gedokumenteerde aanvaardingsgrens gebruik word eerder as as 'n algemene vertrouensstorting.