هل تحتاج إلى Easy-RSA مع OpenVPN؟ يعتمد الأمر على مَن يملك سلطة الإصدار

يقول أحد الدروس إن عليك تثبيت Easy-RSA قبل إعداد OpenVPN، فيفترض الناس أن الاثنين صفقة واحدة. هذا غير صحيح. Easy-RSA أداة لإدارة البنية التحتية للمفاتيح العامة تشغّل OpenSSL؛ أما OpenVPN فهو النفق. الأولى تقرر مَن ينبغي الوثوق به، والثاني ينقل الحزم.

المقارنة التي تهم ليست أي أداة أفضل. بل أيّ الجهتين تملك جهة الإصدار في مؤسستك.

ما هي Easy-RSA في الحقيقة

يصف المشروع نفسه بأنه أداة لإدارة البنية التحتية للمفاتيح العامة من نوع X.509، مع تولّي OpenSSL للعمل التشفيري. وهذا يعني أنه يغلّف توليد المفاتيح وطلبات الشهادات وسياسة التوقيع والإبطال في بنية أدلة قابلة للتكرار. وهو لا يضيف طبقة تشفير إلى نفق قائم، ولا يجعل RSA أقوى من المفتاح نفسه الذي تنتجه أداة كفؤة أخرى. ما يفعله هو جعل سير العمل قابلاً للتدقيق.

هذه ميزة حقيقية، لكنها ميزة تشغيلية لا تشفيرية.

تتبّع حاسوباً محمولاً واحداً عبر التسجيل

ينشئ الحاسوب المحمول الجديد مفتاحه الخاص ويقدّم طلب شهادة، لذا لا يغادر المفتاح الخاص الجهاز أبداً. ثم توقّع جهة الإصدار ذلك الطلب بنوع يختار الامتدادات الصحيحة لدور العميل. وفي Easy-RSA يكون ذلك بالأمر ./easyrsa sign-req client laptop-a.

على المشغّل أن يقرر مع ذلك أن هذا الشخص يستحق الوصول. ولا تستنتج أي أداة توقيع استحقاقاً من اسم شائع.

تعود الشهادة الموقّعة إلى الجهاز الذي يحمل المفتاح المطابق، ويوفّر نشر VPN بصورة منفصلة ثقة الخادم وفحوص الهوية وسياسة الشبكة ومتطلبات الحساب. وملف في دليل مخرجات جهة الإصدار لا يثبت شيئاً من ذلك. فقط مصافحة مكتملة تفعل.

تتبّع الحاسوب نفسه عند خروجه

الإزالة هي حيث يظهر أثر اختيار جهة الإصدار حقاً. سير العمل القابل للاستخدام يحدد الشهادة، ويسجل الإبطال، وينتج ما تحتاجه الأنظمة المعتمدة لرفضها. وتفصل Easy-RSA بين ./easyrsa revoke laptop-a و ./easyrsa gen-crl، والخطوة الثانية هي التي ينساها الناس. إن توليد قائمة إبطال شهادات على جهة الإصدار لا يسلّمها إلى أي مدقّق في VPN.

النشر وسلوك إعادة التحميل وما يحدث للجلسات القائمة بالفعل قرارات نشر، وليست ميزات أداة.

تلك الفجوة هي الحجة العملية لسير عمل راسخ مقابل كومة من أوامر openssl العشوائية. الجزء الصعب في تشغيل جهة إصدار ليس الشهادة الأولى. بل الحفاظ على تماسك سجلات الإصدار والنسخ الاحتياطية والتجديدات والإزالات مع مجيء الأجهزة وذهابها.

عندما تكون جهة إصدار موجودة بالفعل

إذا كانت مؤسستك تشغّل بالفعل خدمة شهادات معتمدة، فسجّل عبرها. وإقامة سلطة شهادات ثانية لأن درساً تضمّن أوامر Easy-RSA تخلق عملاً في توزيع الثقة، وعملاً في النسخ الاحتياطي، وشيئاً ثانياً يجب إبطاله بشكل صحيح.

جهة الإصدار المحلية التزام بتشغيل سلطة شهادات، وليست مربع اختيار في دليل إعداد.

عندما يكون Easy-RSA هو الخيار الصحيح

لنشر خاص صغير يحتاج فعلاً إلى جهة إصدار خاصة به، يمنح Easy-RSA سير عمل مركّزاً دون تجميع كل عملية يدوياً. و دليل Easy-RSA الأصلي يغطي خطوات الطلب والتوقيع والإبطال وقائمة الإبطال بالترتيب. أبقِ مادة توقيع سلطة الشهادات مع مالكها المعيّن؛ فالعملاء يحتاجون بيانات اعتمادهم وثقتهم العامة ذات الصلة، لا نسخة من مفتاح التوقيع أبداً.

تصميم OpenVPN القائم على التثبيت ترتيب ثقة مشروع آخر، وليس بنية مفاتيح معطوبة تنتظر الإصلاح. وتسجيل الدخول إلى الحساب لا يلغي الحاجة إلى مصادقة الخادم وفق أي بروتوكول اخترته.

أجب عن أربعة أسئلة قبل الاختيار: من يوافق على هوية جديدة، وأين يعيش مفتاحها الخاص، وكيف تصل الشهادة إلى العميل، وكيف تتوقف هوية مسحوبة عن القبول.