Ці патрэбны Easy-RSA для OpenVPN? Залежыць ад таго, хто валодае CA

У падручніку сказана ўсталяваць Easy-RSA перад наладай OpenVPN, таму людзі лічаць, што гэта адзін камплект. Гэта не так. Easy-RSA — утыліта кіравання PKI, якая кіруе OpenSSL; OpenVPN — гэта тунель. Адна вырашае, каму давяраць, другая перамяшчае пакеты.

Важнае параўнанне не ў тым, які інструмент лепшы. А ў тым, хто валодае эмітэнтам у вашай арганізацыі.

Што такое Easy-RSA насамрэч

Праект апісвае сябе як утыліту кіравання PKI X.509, дзе крыптаграфічную працу выконвае OpenSSL. Гэта значыць, яна ўпакоўвае генерацыю ключоў, запыты на сертыфікаты, палітыку подпісу і адкліканне ў паўторную структуру каталогаў. Яна не дадае пласт шыфравання да ўжо створанага тунеля і не робіць RSA мацнейшым за той жа ключ, створаны іншым кампетэнтным інструментам. Што яна робіць — гэта робіць працэс працы аўдытуемым.

Гэта рэальная перавага, але аперацыйная, а не крыптаграфічная.

Прасачыце за адным ноўтбукам падчас рэгістрацыі

Новы ноўтбук генеруе ўласны ключ і падае запыт на сертыфікат, таму прыватны ключ ніколі не пакідае прыладу. Затым эмітэнт падпісвае гэты запыт тыпам, які выбірае правільныя пашырэнні для ролі кліента. У Easy-RSA гэта ./easyrsa sign-req client laptop-a.

Аператар усё яшчэ павінен вырашыць, што гэты чалавек заслугоўвае доступу. Ніводзін інструмент подпісу не выводзіць права з агульнага імя.

Падпісаны сертыфікат вяртаецца на прыладу, якая трымае адпаведны ключ, і разгортванне VPN асобна забяспечвае давер да сервера, праверкі асобы, сеткавую палітыку і патрабаванні да ўліковага запісу. Файл у каталозе вываду эмітэнта нічога з гэтага не даказвае. Толькі завершанае рукапацісканне гэта робіць.

Прасачыце за тым жа ноўтбукам пры выхадзе

Выдаленне — гэта месца, дзе выбар эмітэнта сапраўды бачны. Прыдатны працэс вызначае сертыфікат, фіксуе адкліканне і стварае тое, што патрэбна сістэмам даверу, каб адхіліць яго. Easy-RSA падзяляе ./easyrsa revoke laptop-a ад ./easyrsa gen-crl, і другі крок — гэта той, які людзі забываюць. Генерацыя CRL на эмітэнце не дастаўляе яго ніводнаму правяральніку VPN.

Размеркаванне, паводзіны пры перазагрузцы і тое, што адбываецца з ужо ўсталяванымі сесіямі, — гэта рашэнні разгортвання, а не функцыі інструмента.

Гэтая прага — практычны аргумент на карысць устоянага працэсу супраць купы разрозненых камандаў openssl. Цяжкае ў кіраванні эмітэнтам — не першы сертыфікат. Гэта захаванне ўзгодненасці запісаў выпуску, рэзервовых копій, абнаўленняў і выдаленняў, пакуль прылады прыходзяць і сыходзяць.

Калі эмітэнт ужо існуе

Калі ваша арганізацыя ўжо вядзе зацверджаную службу сертыфікатаў, рэгіструйцеся праз яе. Узвядзенне другога CA толькі таму, што падручнік утрымліваў каманды Easy-RSA, стварае працу па размеркаванні даверу, працу з рэзервовымі копіямі і другі аб’ект, які трэба правільна адклікаць.

Лакальны эмітэнт — гэта абавязацельства кіраваць CA, а не галачка ў кіраўніцтве па наладзе.

Калі Easy-RSA — правільны выбар

Для невялікага прыватнага разгортвання, якому сапраўды патрэбны ўласны эмітэнт, Easy-RSA дае сфакусаваны працэс без ручной зборкі кожнай аперацыі. зыходнае кіраўніцтва Easy-RSA апісвае крокі запыту, подпісу, адклікання і CRL па парадку. Трымайце матэрыял подпісу CA ў яго прызначанага ўладальніка; кліентам патрэбны ўласныя ўліковыя даныя і адпаведны публічны давер, а не копія ключа подпісу.

Дызайн OpenVPN на аснове PIN — гэта іншая законная схема даверу, а не зламаная PKI, якая чакае рамонту. І ўваход ва ўліковы запіс не адмяняе неабходнасці аўтэнтыфікаваць сервер па тым пратаколе, які вы абралі.

Адкажыце на чатыры пытанні перад выбарам: хто ўхваляе новую асобу, дзе жыве яе прыватны ключ, як сертыфікат дасягае кліента і як выведзеная асоба перастае прымацца.