CA-nı yenidən qurmadan VPN müştərisi əlavə etmək

Daha bir noutbuk üçün daha bir sertifikat lazımdır, amma axtarış nəticələrindəki ilk dərs PKI qovluğunu silən əmrlə başlayır. O əmr ilk quraşdırmaya aiddir, qeydiyyata yox; onu işə salmaq CA-nı, buraxılış tarixçəsini və köhnə emitentə güvənən bütün müştəri profillərini itirir. Qərar dardır: mövcud emitentin istifadə edilə bilən vəziyyəti qalıbmı və yeni cihaz artıq tətbiq etdiyiniz qeydiyyat siyasətinə uyğundurmu? Üç şərt bunu həll edir və yalnız biri yenidənqurmanı əsaslandırır.

Yenidənqurma əslində nə məhv edir

PKI-ni yenidən işə salmaq qovluğu boş strukturla əvəz edir: yeni CA açarı və sertifikatı, boş buraxılış bazası, təzə seriya sayğacı. Müştərilər özlüyündə tabe olmur; profilləri köhnə CA-nı bağladığı üçün hər cihaz yenidən qeydiyyatdan keçməlidir, əlçatmaz cihazlar isə əl ilə qeydiyyata alınmalı və ya dəyişdirilməlidir.

Daha sakit itki uçotdur. Ləğv etmə hansı seriya nömrələrini kimə verdiyinizi bilməkdən asılıdır. İndeksi təmizləsəniz imzalaya bilərsiniz, amma qalan sertifikatlardan hansını ləğv etmək istədiyinizi əminliklə deyə bilməzsiniz. Uyğun emitent vəziyyəti olmayan CA qovluğu sistemin yanlış yarısını bərpa edən ehtiyat nüsxədir.

CA şəxsi açarını işləyən serverin yanına kopyalamaq imtina etməli olduğunuz digər qısa yoldur: oflayn saxlanmalı imzalama səlahiyyətini etibarsız trafik qəbul edən hostda daha bir fayla çevirir.

Birinci şərt: emitent vəziyyəti hələ əldə edilirmi?

Qərar verməzdən əvvəl serverin həqiqətən güvəndiyi qovluğu tapın. Serverin CA kimi təqdim etdiyi sertifikatı PKI qovluğundakı ilə barmaq izi ilə müqayisə edin, fayl adı ilə yox:

openssl x509 -in ca.crt -noout -fingerprint -sha256
openssl x509 -in /etc/openvpn/ca.crt -noout -fingerprint -sha256

İzlər üst-üstə düşürsə, qeydiyyat artımlıdır və heç nə yenidən qurmamalısınız. Fərqlənirsə, serverin güvənmədiyi CA ilə imzalayırsınız: sertifikat təmiz quraşdırılır, əl sıxışmada uğursuz olur və bu xəta saatlarla müştəri xətası kimi diaqnoz edilir.

Sonra buraxılış vəziyyətini axtarın: indeks faylı, seriya sayğacı və CRL nömrə faylı. İndeks yoxdur, açar qalıbsa, buraxa bilərsiniz, amma ləğv qeydiyyatı problemi miras alırsınız. Bunu dəyişiklik qeydinə yazın, üstünü örtməyin, çünki növbəti ləğv sorğusu onu üzə çıxaracaq.

İkinci şərt: yeni şəxsi açar kimdədir?

Bu istifadəçilərin hiss etdiyi qərardır, açıq şəkildə verin. Sorğu kimi təqdim edilən müştəri açarı şəxsi hissəni ilk əmrdən cihazda saxlayır və administrator ona heç vaxt toxunmur. Serverdə yaradılan açar sorğu yarada bilməyən cihazlar üçün asandır, amma administratoru hər açarın saxlayıcısı edir və server kompromisin təsirini genişləndirir.

Mövcud CA ilə Easy-RSA 3 istifadə edərkən sorğunun idxalı və imzalanması iki əmrdir:

./easyrsa import-req /tmp/alice.req alice
./easyrsa sign-req client alice

Sertifikat tipini qəsdən seçin. Müştəri yerinə server sertifikatı kimi imzalanan sorğu yaxşı görünən, amma qarşı tərəfin rədd etdiyi fayl verir və xəta mesajı səbəbi demir. openssl ca ilə imzalayırsınızsa, eyni seçim ötürdüyünüz genişlənmələrdədir, miras qalan defolt bölmədə yox.

Üçüncü şərt: server sertifikatdan çoxunu istəyirmi?

Sertifikat autentifikasiyalı adi OpenVPN serveri üçün sertifikat qeydiyyatın özüdür: ümumi ad müştəri kimliyi olur, hər müştəri qovluğu, göndərilən marşrut və ya statik ünvan həmin ada bağlanır. Sertifikatı əlavə edib uyğun müştəri konfiqurasiyasını unutsanız, tunel qoşulur, amma lazım olan marşrutlar görünmür.

Platformalar bunu dəyişir. OpenVPN Access Server öz istifadəçi bazasını saxlayır, imzalanmış sertifikat hesab deyil; hesab mövcud və icazəli olmalıdır. Digər şlüzlər kimlik sətrini qrupa bağlayır. Bir cihazın qeydiyyatı adətən iki sistemə toxunur, sertifikat isə yalnız birincisidir.

Artımlı prosedur və yenidənqurmanın yeri

Bir cihazı zərərsiz əlavə edən ardıcıllıq: emitenti barmaq izi ilə təsdiqləyin, PKI qovluğunun təzə ehtiyat nüsxəsini götürün, sorğunu müştəri rolu üçün idxal edib imzalayın, sertifikatı zənciri ilə təsdiqlənmiş kanaldan çatdırın, istifadəçi qoşulmadan əvvəl yoxlayın:

openssl verify -CAfile ca.crt alice.crt
openssl x509 -in alice.crt -noout -subject -issuer -dates -purpose

Məqsəd sətri SSL client göstərməlidir. Buraxılışdan sonra CA ehtiyat nüsxəsini yeniləyin, çünki yeni seriya qeyd edilməmişdən əvvəl götürülmüş nüsxə əlavə etdiyiniz cihazı olmayan vəziyyəti bərpa edir.

Yenidənqurma üç halda doğrudur: CA açarı kompromis edilibsə, buraxılış vəziyyəti bərpa olunmaz şəkildə itibsə və ya açar alqoritmini və ya sertifikat siyasətini qəsdən dəyişirsinizsə. Üçü də hər müştəri üçün yenidən qeydiyyat planı olan layihələrdir, bir cihaz sorğusunun addımları deyil. Heç biri yoxdursa, artımlı qeydiyyat edin və emitenti tək qoyun.