Нужен ли ви е Easy-RSA за OpenVPN? Зависи кой притежава CA

В един урок се казва да инсталирате Easy-RSA преди настройка на OpenVPN, затова хората приемат, че двете вървят в пакет. Не е така. Easy-RSA е помощна програма за управление на PKI, която управлява OpenSSL; OpenVPN е тунелът. Едната решава на кого да се доверява, другата пренася пакети.

Важното сравнение не е кой инструмент е по-добър. А кой притежава издателя в организацията ви.

Какво всъщност е Easy-RSA

Проектът се описва като помощна програма за управление на PKI X.509, като OpenSSL върши криптографската работа. Това означава, че тя обгръща генерирането на ключове, заявките за сертификати, политиката за подписване и оттеглянето в повтаряема структура от директории. Тя не добавя слой за криптиране към установен тунел и не прави RSA по-силен от същия ключ, произведен от друг компетентен инструмент. Това, което прави, е да направи работния процес проверим.

Това е реално предимство, но оперативно, а не криптографско.

Проследете един лаптоп през регистрацията

Нов лаптоп генерира свой собствен ключ и подава заявка за сертификат, така че частният ключ никога не напуска устройството. След това издателят подписва тази заявка с тип, който избира правилните разширения за клиентска роля. В Easy-RSA това е ./easyrsa sign-req client laptop-a.

Операторът все още трябва да реши, че този човек заслужава достъп. Никой инструмент за подписване не извежда право от общо име.

Подписаният сертификат се връща на устройството, което държи съответния ключ, а внедряването на VPN отделно осигурява доверие към сървъра, проверки на самоличността, мрежова политика и изисквания за акаунт. Файл в изходната директория на издателя не доказва нищо от това. Само завършено ръкостискане го прави.

Проследете същия лаптоп при излизане

Премахването е мястото, където изборът на издател наистина се вижда. Използваем работен процес идентифицира сертификата, записва оттеглянето и произвежда това, от което системите за доверие се нуждаят, за да го отхвърлят. Easy-RSA разделя ./easyrsa revoke laptop-a от ./easyrsa gen-crl, а втората стъпка е тази, която хората забравят. Генерирането на CRL при издателя не го доставя до нито един проверяващ VPN.

Разпространението, поведението при презареждане и какво се случва със сесиите, които вече са установени, са решения за внедряване, а не функции на инструмента.

Тази празнина е практическият аргумент за установен работен процес пред купчина ad-hoc команди на openssl. Трудната част от управлението на издател не е първият сертификат. Тя е поддържането на съгласувани записи за издаване, резервни копия, подновявания и премахвания, докато устройствата идват и си отиват.

Когато издател вече съществува

Ако организацията ви вече управлява одобрена услуга за сертификати, регистрирайте се през нея. Изграждането на втори CA, защото урок е включвал команди на Easy-RSA, създава работа по разпространение на доверие, работа по резервни копия и второ нещо, което трябва да бъде оттеглено правилно.

Локалният издател е ангажимент да управлявате CA, а не отметка в ръководство за настройка.

Когато Easy-RSA е правилният избор

За малко частно внедряване, което наистина се нуждае от собствен издател, Easy-RSA дава фокусиран работен процес, без да сглобявате всяка операция на ръка. Ръководството на Easy-RSA от източника покрива стъпките за заявка, подписване, оттегляне и CRL по ред. Пазете материала за подписване на CA при неговия определен собственик; клиентите се нуждаят от собствени идентификационни данни и съответното публично доверие, никога от копие на ключа за подписване.

Дизайнът на OpenVPN, базиран на PIN, е друга законна схема на доверие, а не счупена PKI, чакаща ремонт. И входът в акаунт не премахва нуждата да удостоверите сървъра по протокола, който сте избрали.

Отговорете на четири въпроса преди избора: кой одобрява нова самоличност, къде живее нейният частен ключ, как сертификатът стига до клиента и как оттеглена самоличност спира да бъде приемана.