Добавяне на VPN клиент без преизграждане на CA

Трябва ви още един сертификат за още един лаптоп, но първият урок в търсенето започва с команда, която изтрива PKI директорията. Тя е за първоначална настройка, не за регистрация, и струва CA, историята и всеки клиентски профил, вярвал на стария издател. Решението е по-тясно: има ли издателят използваемо състояние и пасва ли устройството на политиката ви? Три условия решават, само едно оправдава преизграждане.

Какво унищожава преизграждането

Преинициализирането заменя директорията с празна структура: нов ключ и сертификат на CA, празна база и нов брояч на серии. Клиентите не следват сами; профилите им закрепват стария CA, затова всяко устройство се регистрира отново, а недостъпните — на ръка.

По-тихата загуба е отчетността. Отмяната зависи от това да знаете кои серийни номера на кого сте издали. Изчистете индекса и пак подписвате, но не казвате с увереност кои сертификати сте искали да отмените. Директория без състояние на издателя е копие, което връща грешната половина.

Копирането на частния ключ на CA до работещия сървър е другият преки път, от който да се откажете: прави орган за подписване, който трябва да е извън мрежата, още един файл на хост с недоверен трафик.

Първо условие: състоянието на издателя достъпно ли е?

Намерете директорията, на която сървърът наистина вярва. Сравнете сертификата, който представя като CA, с този в PKI директорията по отпечатък, не по име:

openssl x509 -in ca.crt -noout -fingerprint -sha256
openssl x509 -in /etc/openvpn/ca.crt -noout -fingerprint -sha256

Съвпаднат ли отпечатъците, регистрацията е инкрементална и не преизграждайте. Различават ли се, подписвате с CA, на който сървърът не вярва: сертификатът се инсталира чисто и пада при ръкостискането, а грешката се бърка с клиентска с часове.

После търсете състоянието на издаване: индекс, брояч на серии и файл с номера на CRL. Без индекс, но с ключ можете да издавате, но наследявате проблем със записването на отмяна. Запишете го в журнала, следващата отмяна ще го покаже.

Второ условие: кой държи новия частен ключ?

Това решение се усеща от потребителите, затова го вземете изрично. Ключ, генериран от клиента и подаден като заявка, оставя частната половина на устройството и администраторът не я докосва. Ключ на сървъра е по-лесен за устройства без инструменти, но прави администратора пазител на всеки ключ и разширява ефекта от компрометиране.

С Easy-RSA 3 срещу съществуващ CA внасянето и подписването са две команди:

./easyrsa import-req /tmp/alice.req alice
./easyrsa sign-req client alice

Изберете типа съзнателно. Заявка, подписана като сървърен вместо клиентски сертификат, дава файл, който изглежда наред и се отхвърля от партньора. При openssl ca същият избор е в разширенията, не в секцията по подразбиране.

Трето условие: сървърът иска ли повече от сертификат?

За обикновен OpenVPN сървър с удостоверяване по сертификат, сертификатът е регистрацията: общото име става идентичност, а клиентска директория, маршрут или статичен адрес се водят по него. Забравете ли конфигурацията, тунелът се свързва, но маршрутите не се появяват.

Платформите променят това. OpenVPN Access Server държи собствена база, затова подписаният сертификат не е акаунт; акаунтът трябва да съществува и да е разрешен. Други шлюзове свързват идентичност с група. Едно устройство обикновено пипа две системи.

Инкременталната процедура и кога преизграждането е правилно

Последователност без щети: потвърдете издателя по отпечатък, вземете свежо копие на PKI, внесете и подпишете заявката за клиентска роля, предайте сертификата с веригата по одобрен канал, проверете преди свързване:

openssl verify -CAfile ca.crt alice.crt
openssl x509 -in alice.crt -noout -subject -issuer -dates -purpose

Редът за предназначение трябва да показва SSL client. Обновете копието на CA след издаването, защото копие отпреди новата серия връща състояние без добавеното устройство.

Преизграждане е правилно при компрометиран ключ на CA, безвъзвратно загубено състояние на издаване или съзнателна смяна на алгоритъма или политиката. И трите са проекти с план за повторна регистрация, не стъпки в заявка за едно устройство. Иначе регистрирайте инкрементално.