OpenVPN üçün Easy-RSA lazımdırmı? Bu, CA-ya kimin sahib olmasından asılıdır

Bir dərslik OpenVPN-i qurmazdan əvvəl Easy-RSA quraşdırmağı deyir, buna görə insanlar ikisinin bir paket olduğunu düşünürlər. Belə deyil. Easy-RSA OpenSSL-i idarə edən PKI idarəetmə vasitəsidir; OpenVPN isə tuneldir. Biri kimə etibar ediləcəyinə qərar verir, digəri paketləri daşıyır.

Vacib olan müqayisə hansı alətin daha yaxşı olması deyil. Hansının təşkilatınızda emitenti idarə etməsidir.

Easy-RSA əslində nədir

Layihə özünü OpenSSL-in kriptoqrafik işi gördüyü X.509 PKI idarəetmə vasitəsi kimi təsvir edir. Bu o deməkdir ki, o, açar yaradılmasını, sertifikat sorğularını, imzalama siyasətini və ləğvi təkrarlana bilən qovluq strukturuna yığır. O, mövcud tunelə şifrələmə qatı əlavə etmir və RSA-nı başqa səriştəli alətin istehsal etdiyi eyni açardan güclü etmir. Etdiyi şey iş axınını audit edilə bilən hala gətirməkdir.

Bu real faydadır, lakin kriptoqrafik deyil, əməliyyat faydasıdır.

Bir noutbuku qeydiyyat boyunca izləyin

Yeni noutbuk öz açarını yaradır və sertifikat sorğusu göndərir, buna görə şəxsi açar heç vaxt cihazdan çıxmır. Sonra emitent həmin sorğunu müştəri rolu üçün düzgün genişlənmələri seçən bir növlə imzalayır. Easy-RSA-da bu, ./easyrsa sign-req client laptop-a.

Operator yenə də bu şəxsin girişə layiq olduğuna qərar verməlidir. Heç bir imzalama aləti ümumi addan hüquq çıxarmır.

İmzalanmış sertifikat qayıdır uyğun açarı saxlayan cihaza, və VPN yerləşdirməsi server etimadını, şəxsiyyət yoxlamalarını, şəbəkə siyasətini və hesab tələblərini ayrıca təmin edir. Emitentin çıxış qovluğundakı fayl bunların heç birini sübut etmir. Yalnız tamamlanmış əl sıxışma bunu edir.

Eyni noutbuku çıxışda izləyin

Silinmə emitent seçiminin həqiqətən göründüyü yerdir. İstifadə edilə bilən iş axını sertifikatı müəyyən edir, ləğvi qeydə alır və etibar edən sistemlərin onu rədd etməsi üçün lazım olanı istehsal edir. Easy-RSA ./easyrsa revoke laptop-a ilə ./easyrsa gen-crl arasında fərq qoyur; ikinci addım isə insanların unutduğu addımdır. Emitentdə CRL yaratmaq onu heç bir VPN yoxlayıcısına çatdırmır.

Paylanma, yenidən yükləmə davranışı və artıq qurulmuş sessiyalarla nə baş verdiyi yerləşdirmə qərarlarıdır, alət xüsusiyyətləri deyil.

Bu boşluq qurulmuş iş axınının səpələnmiş openssl əmrləri yığınına qarşı praktik arqumentidir. Emitent idarə etməyin çətin hissəsi ilk sertifikat deyil. Cihazlar gəlib-getdikcə buraxılış qeydlərini, ehtiyat nüsxələrini, yeniləmələri və silinmələri uyğun saxlamaqdır.

Emitent artıq mövcud olduqda

Təşkilatınız artıq təsdiqlənmiş sertifikat xidməti idarə edirsə, onun vasitəsilə qeydiyyatdan keçin. Bir dərslik Easy-RSA əmrləri ehtiva etdiyi üçün ikinci CA qurmaq etimad paylanması işi, ehtiyat nüsxə işi və düzgün ləğv edilməli ikinci bir şey yaradır.

Yerli emitent CA idarə etmək öhdəliyidir, quraşdırma bələdçisindəki işarə qutusu deyil.

Easy-RSA nə vaxt düzgün seçimdir

Həqiqətən öz emitentinə ehtiyac duyan kiçik şəxsi yerləşdirmə üçün Easy-RSA hər əməliyyatı əl ilə yığmadan fokuslanmış iş axını verir. Easy-RSA-nın yuxarı axın bələdçisi sorğu, imzalama, ləğv və CRL addımlarını sıra ilə əhatə edir. CA imzalama materialını təyin edilmiş sahibinin yanında saxlayın; müştərilər öz etimadnamələrinə və müvafiq açıq etimada ehtiyac duyurlar, heç vaxt imzalama açarının surətinə yox.

PIN əsaslı OpenVPN dizaynı başqa qanuni etimad tənzimləməsidir, təmir gözləyən sınıq PKI deyil. Və hesaba daxil olmaq seçdiyiniz protokoldan asılı olmayaraq serverin autentifikasiyası ehtiyacını aradan qaldırmır.

Seçim etməzdən əvvəl dörd suala cavab verin: yeni şəxsiyyəti kim təsdiqləyir, onun şəxsi açarı harada yaşayır, sertifikat müştəriyə necə çatır və istefaya çıxan şəxsiyyət necə qəbul edilməz olur.