OpenVPN həmyaşıdları üçün mövcud korporativ CA-dan istifadə edin

OpenVPN daxilində heç nə sertifikatın Easy-RSA-dan gəlməsini tələb etmir, və artıq təşkilati PKI-ya malik olan park adətən ikincisini qurmamalıdır. Əsl iş alət seçmək deyil, verilmiş kimliklərin nə demək olduğunu, tunelin hansı həmyaşıdları qəbul etdiyini və yenilənmə ilə ləğvin yoxlayıcıya necə çatdığını qərarlaşdırmaqdır. Aşağıdakı beş addımı sıra ilə keçin, çünki sonrakı addım birincidə verilmiş rol qərarını bərpa edə bilməz.

Bir ortaq kimlik yerinə iki rol verin

Hər həmyaşıd öz sertifikatına və uyğun şəxsi açarına ehtiyac duyur. PKI komandasından server istifadəsi daşıyan server kimliyi və müştəri istifadəsi daşıyan ayrı müştəri kimlikləri istəyin ki, tunel əl sıxma zamanı ikisini ayırd edə bilsin.

Son tarix təzyiqi altında peyda olan qısa yollara müqavimət göstərin. Veb serverin açarının noutbuklara köçürülməsi rol yoxlamasının dayandığı fərqi silir, VPN son nöqtəsinə quraşdırılmış CA imzalama açarı isə bir kompromisə uğramış hostu kompromisə uğramış iyerarxiyaya çevirir. PKCS12 paketi son nöqtə açarını və zəncirini daşıya bilər, lakin o kimliyin başqa rolda təkrar istifadəsinə heç vaxt icazə vermir.

Hər tərəfdə etibar girişlərini birləşdirin

Müştəri və server hər biri etibar ankoruna, öz kimliyinə və açıq rol gözləntisinə ehtiyac duyur. Üçünü də göstərən müştəri fraqmenti belə görünür.

client
ca /etc/openvpn/pki/issuing-root.pem
cert /etc/openvpn/pki/device-17.crt
key /etc/openvpn/pki/device-17.key
remote-cert-tls server
verify-x509-name vpn.corp.example name
crl-verify /etc/openvpn/pki/issuing.crl

Server tərəfi bunu remote-cert-tls client və öz sertifikatı ilə əks etdirir, bu da müştəri sertifikatının server kimi qəbul edilməsinin qarşısını alan şeydir. Ad yoxlaması rol yoxlamasından ayrı bir qərardır. Hansı sahənin müqayisə olunduğunu görmək üçün yerləşdirilmiş konfiqurasiyanı oxuyun, brauzer üslubunda host adı uyğunluğu fərz etməyin. Hər iki tərəf hansı emitentə etibar etdikləri barədə də açıq olmalıdır, çünki park boyunca ortaq fayl yolu ortaq siyasətlə eyni şey deyil.

Etibarı genişləndirmədən ara sertifikatları təqdim edin

İki tərəf bir emitent zəncirini paylaşmalı deyil. Həmyaşıd ara sertifikatla imzalanmış sertifikat təqdim etdikdə, yoxlayan tərəf həmin ara sertifikatın mövcud olmasına ehtiyac duyur və OpenVPN etibar ankoru girişini yerli təqdim edilən zənciri tamamlamaq üçün istifadə olunan əlavə sertifikatlardan fərqləndirir. OpenVPN 2.6 TLS seçim arayışı hər ikisini sənədləşdirir.

Ara CA özlüyündə problem deyil, etibar dəstinə atılmış geniş korporativ kök isə problemdir. Ankor nə qədər geniş olsa, zəncir testini bir o qədər çox sertifikat keçir və rol yoxlaması bunu səlahiyyətli işçilər siyahısına çevirmir. İyerarxiya imkan verdiyi yerdə ankoru faktiki olaraq VPN kimliklərini imzalayan emitentə qədər daraltın. Əgər imkan vermirsə, geniş ankoru gizli saxlayıb buraxmaq əvəzinə qəsdən qəbul edilmiş risk kimi sənədləşdirin.

PKI komandası ilə yenilənmə və ləğvin VPN yoxlayıcılarına necə çatdığını, hansı emitentlərin vacib olduğunu və siyahını kimin dərc etdiyini razılaşdırın. Sertifikata daxil edilmiş CRL paylama nöqtəsi bir təlimatdır, heç nəyin onu götürdüyünə dair sübut deyil.

Ləğvin həqiqətən necə gəldiyini qərarlaşdırın

crl-verify yoxlayıcını fayla və ya son nöqtəyə müraciət etdirir və bu quruluş sahibə və yeniləmə yoluna ehtiyac duyur. Yerləşdirmə zamanı bir dəfə köçürülən siyahı sertifikat ilk dəfə ləğv edildikdə səssizcə sizi qorumaqdan əl çəkir.

Gözlənilən yayılma vaxtını yazın və ləğv etməyə hazır olduğunuz bir sertifikatla sınayın. Siyahı VPN hostunda yenilənə bilmirsə, alternativ daha qısa etibarlılıq müddəti və həqiqətən işləyən yenilənmə prosesidir, URL mövcud olduğu üçün ləğvin işlədiyini fərz etmək deyil.

Qəbulu real müştəri ilə sübut edin

İcazə verilməli olan müştəri qoşun və razılaşdırılmış sertifikat detallarını jurnalda təsdiqləyin. Sonra uğursuz olmalı olan halları sınayın: server kimi təqdim edilən müştəri sertifikatı, etibar ankorundan kənar emitentdən sertifikat və əlinizdə artıq varsa ləğv edilmiş sertifikat.

Qəbul edilmiş emitenti, rol yoxlamasını və ləğv mənbəyini profilin yanında qeyd edin. Bu qeyd keçən ay işləyən cihaz qoşulmağı dayandırdıqda növbəti mühəndisə lazım olan şeydir və həm də korporativ CA-nın ümumi məqsədli etibar atma yeri kimi deyil, sənədləşdirilmiş qəbul sərhədi daxilində istifadə olunduğunun sübutudur.