OpenVPN CA İmzalama Açarını /etc/openvpn Xaricində Saxlayın

Dərslikdə oxşar görünən iki qovluq tamamilə fərqli işlər görür. Biri sertifikat orqanını saxlayır: onun şəxsi açarını, seriya nömrəsi sayğacını və imzaladığı hər şeyin qeydini. Digəri demonun başlamaq və müştərilərə xidmət etmək üçün ehtiyac duyduğu şeyi saxlayır. İkisini də eyni hostda eyni hesab altında yerləşdirmək bir günorta üçün rahatdır və yerləşdirmənin qalan ömrü üçün bahalıdır, çünki demon sonra istədiyi istənilən kimliyi yarada bilən yeganə açarın yanında işləyir.

CA iş sahəsi nə saxlayır

PKI qovluğu konfiqurasiya deyil, verənin vəziyyətidir. O, CA-nın şəxsi açarını və sertifikatını, seriya nömrəsi faylını, verilmiş sertifikatların indeksini və onlardan hazırlanmış hər kimlik üçün materialı saxlayır.

Sorğunun imzalanması bu vəziyyəti dəyişir, buna görə iş sahəsi VPN xidmətinin işləmədiyi hostda administrator tərəfindən idarə olunan hesaba aiddir. CA-nın şəxsi açarını oxuya bilən hər kəs serverin etibar edəcəyi sertifikat verə bilər, yəni açarın qorunması bir faylda bütün etimad modelidir. Bir addım qənaət etmək üçün onu ikinci yerə köçürmək qorunmalı ikinci şey və unudulmalı ikinci şey yaradır. Hər imza həm də seriya nömrəsini artırır və indeksə giriş əlavə edir, buna görə iş sahəsi fayllar qovluğu deyil, vəziyyətin bir nüsxəsidir.

CA-nın açıq sertifikatı fərqlidir. O, yayılmaq üçün nəzərdə tutulub və müştərilərlə serverlərin bir-birini yoxlaması üçün istifadə etdiyi şeydir.

Demon başlayanda nə oxuyur

İşləyən server kiçik bir dəst istehlak edir: öz sertifikatını, öz şəxsi açarını, tərəfdaşları yoxlamaq üçün CA sertifikatını və seçilmiş rejimin tələb etdiyi açar materialını. Bu yolları başlanğıcda və yenidən yükləmədə bir daha oxuyur.

Sahiplik interaktiv root qabığına görə deyil, həqiqətən başlayan vahidə görə qiymətləndirilməlidir. Bəyan edilmiş sandbox, root kimi əl ilə sınaq uğurlu olsa belə, fayl sisteminin bir hissəsini yalnız oxunaqlı və ya görünməz edə bilər.

systemctl show -p User -p Group -p ReadOnlyPaths [email protected]
stat -c '%a %U:%G' /etc/openvpn/server/server.key
runuser -u openvpn -- test -r /etc/openvpn/server/server.key; echo $?

Üçüncü sətir insanların atladığı sətirdir. Demonun öz hesabından açarı oxuya bilib-bilmədiyini soruşur və imtiyazlar buraxıldıqdan sonra əhəmiyyətli olan yeganə sual versiyası budur. Root kimi sıfır çıxış buraxılışdan sonra nə baş verdiyi barədə heç nə demir.

Hər hansı icazəni dəyişməzdən əvvəl iki nasazlıq yolunu ayırmağa dəyər. İmzalama nasazlığı PKI qovluğuna, onun valideyn qovluqlarındakı axtarış icazəsinə və verəni işlədən hesaba işarə edir. Başlama nasazlığı vahidə, onun iş qovluğuna və server konfiqurasiyasında adı çəkilən yollara işarə edir. Bütün ağacı hamı üçün oxunaqlı etmək heç birini düzəltmir və ikisinin də asılı olduğu sərhədi aradan qaldırır.

CA açarını serverə köçürmək niyə sonra uğursuz olur

Nüsxə adətən sazlama hərəkəti kimi başlayır: kimsə VPN hostundakı müştərini yeniləmək istəyir, buna görə CA açarı /etc/openvpn qovluğuna düşür və yeniləmə işləyir. Təcili tapşırıq uğurlu olur və sərhəd yox olur.

Sonra server ehtiyat nüsxələnir və imzalama orqanı ehtiyat nüsxələrə qoşulur. Snapshot, dəstək paketi və ya konfiqurasiya qovluğunun nüsxəsi artıq CA etibarlı olduğu müddətdə etibarlı kimliklər vermək qabiliyyətini daşıyır. O nüsxəni saxlayan hər kəs serverin qəbul etdiyi istənilən ad üçün sertifikat yarada bilər, heç vaxt verilməmiş adlar da daxil olmaqla. Həmin verilişin yeganə qeydi onların saxlamağı seçdiyi qeyddir.

Bu vəziyyətdən çıxmaq fayl silmək məsələsi deyil. Açarın ifşa olub-olmadığını qərarlaşdırmalı, olubsa CA-nı döndərməli və etimadı hər tərəfdaşa yenidən paylamalısınız. Ayrı iş sahəsi bütün söhbətdən yayınır.

Hesablar, qovluqlar, ehtiyat nüsxələr

Verənə öz hesabını və ev qovluğunu verin, praktik olduqda VPN hostundan uzaq saxlayın. Demona fərqli hesab verin; yerləşdirilmiş materiala oxuma icazəsi olsun, sertifikat verən heç bir şeyə yazma icazəsi olmasın. Açıq sertifikatları bayıra köçürərək yerləşdirin və şəxsi verən vəziyyətini heç vaxt içəri çəkməyin. İki rolu ayrıca ehtiyat nüsxələyin, çünki həssaslıqları və bərpa hekayələri fərqlidir.

Ləğvdən sonra server konfiqurasiyasının adını çəkdiyi CRL faylını yeniləyin, sonra yeni bağlantıların onu oxuması üçün xidməti yenidən yükləyin. Easy-RSA sənədləri iş sahəsinin düzülüşünü və imzalama axınını əhatə edir; ətrafındakı sahiblik qaydaları hostunuzla bağlı qərar olaraq qalır. Xidmətin nə yüklədiyini bununla yoxlayın: openssl crl -in /etc/openvpn/crl.pem -noout -lastupdate -nextupdate yenidən yükləmənin onu götürdüyünü fərz etmək əvəzinə.

Ayrılmanı sübut edən test

Yalnız işləyən halı deyil, mənfi halı da yoxlayın. Layihələndirildiyi kimi verən hesabından bir sertifikat imzalayın, sonra həmin hesabın xidməti başlada bilmədiyini və ya serverin şəxsi açarını oxuya bilmədiyini təsdiqləyin. Sonra demonun hesabının CA-nın şəxsi açarını oxuya bilmədiyini təsdiqləyin.

Bu üç yoxlama bir neçə dəqiqə çəkir və kadr dəyişikliklərinə dözür, çünki onlar icazələr barədə ifadələrdir, vərdiş barədə deyil. Nəticəni əhatə etdiyi yollar və hesablarla, həmçinin onları işə saldığınız tarixlə yazın. Bu yerləşdirməni miras alan növbəti şəxs əks halda sərhədi heç vaxt olmayan bir dərslikdən yenidən çıxaracaq. Tarixli qeyd də növbəti baxışın bir günorta əvəzinə dəqiqələr çəkməsinə səbəb olan şeydir.