Afegir un client VPN sense reconstruir la CA

Necessites un altre certificat per a un altre portàtil, però el primer tutorial dels resultats comença amb una ordre que esborra el directori PKI. Aquesta ordre pertany a la instal·lació inicial, no a la inscripció; executar-la et costa la CA, l historial d emissió i tots els perfils de client que confiaven en l emissor antic. La decisió és més estreta: l emissor actual conserva estat utilitzable i encaixa el dispositiu nou en la política d inscripció? Tres condicions ho decideixen i només una justifica reconstruir.

Què destrueix realment una reconstrucció

Reinicialitzar una PKI substitueix el directori per una estructura buida: clau i certificat de CA nous, base d emissió buida i comptador de sèries nou. Els clients no segueixen en silenci; els seus perfils fixen la CA antiga, així que cada dispositiu s ha de reinscriure, i els inaccessibles cal reinscriure ls a mà.

La pèrdua més silenciosa és la comptabilitat. La revocació depèn de saber quins números de sèrie vas emetre i a qui. Esborra l índex i encara pots signar, però no afirmar amb confiança quins dels certificats pendents volies revocar. Un directori de CA amb certificats sense l estat de l emissor restaura la meitat equivocada.

Copiar la clau privada de la CA al costat del servidor en marxa és l altre drecera que convé rebutjar: converteix una autoritat de signatura que ha d estar fora de línia en un altre fitxer d un host que acaba trànsit no fiable.

Condició u: segueix accessible l estat de l emissor?

Localitza el directori en què el servidor confia de debò abans de decidir. Compara el certificat que presenta com a CA amb el del directori PKI per empremta, no pel nom del fitxer:

openssl x509 -in ca.crt -noout -fingerprint -sha256
openssl x509 -in /etc/openvpn/ca.crt -noout -fingerprint -sha256

Si les empremtes coincideixen, la inscripció és incremental i no has de reconstruir res. Si difereixen, signaràs amb una CA en què el servidor no confia: el certificat s instal·la net i falla al salt de mà, i aquest error es diagnostica durant hores com una fallada del client.

Després busca l estat d emissió: l índex, el comptador de sèries i el fitxer del número de CRL. Si falta l índex però sobreviu la clau, pots emetre, però hereves un problema de registre de revocacions. Anota ho al registre de canvis, perquè la propera revocació ho revelarà.

Condició dos: qui custodia la clau privada nova?

És la decisió que senten els usuaris, així que pren la explícitament. Una clau generada al client i enviada com a sol·licitud deixa la meitat privada al dispositiu des de la primera ordre i l administrador no la toca mai. Una clau generada al servidor és més fàcil per a dispositius sense eines, però converteix l administrador en custodi de totes les claus i amplia l impacte d un compromís.

Amb Easy-RSA 3 contra una CA existent, importar i signar una sol·licitud són dues ordres:

./easyrsa import-req /tmp/alice.req alice
./easyrsa sign-req client alice

Tria el tipus de certificat a propòsit. Una sol·licitud signada com a certificat de servidor en lloc de client produeix un fitxer que sembla correcte i el pare rebutja, i l error poques vegades diu per què. Si signes amb openssl ca, la mateixa elecció viu a les extensions que passes, no a la secció per defecte.

Condició tres: el servidor necessita més que un certificat?

Per a un servidor OpenVPN normal amb autenticació per certificat, el certificat és la inscripció: el nom comú passa a ser la identitat del client, i qualsevol directori, ruta empenyada o adreça estàtica depèn d aquest nom. Afegeix el certificat i oblida la configuració i el túnel connecta mentre les rutes necessàries no apareixen.

Les plataformes canvien això. OpenVPN Access Server manté la seva pròpia base d usuaris, així que un certificat signat no és un compte; el compte ha d existir i estar permès. Altres passarel·les associen una cadena d identitat a un grup. Inscriure un dispositiu sol tocar dos sistemes, i el certificat és només el primer.

El procediment incremental i quan reconstruir

La seqüència que afegeix un dispositiu sense danys: confirma l emissor per empremta, pren una còpia nova del directori PKI, importa i signa la sol·licitud per al rol de client, lliura el certificat amb la seva cadena pel canal aprovat i verifica abans que l usuari connecti:

openssl verify -CAfile ca.crt alice.crt
openssl x509 -in alice.crt -noout -subject -issuer -dates -purpose

La línia de propòsit ha de mostrar SSL client. Acaba actualitzant la còpia de la CA després de l emissió, perquè una còpia anterior al número de sèrie nou restaura un estat sense el dispositiu que acabes d afegir.

Reconstruir és correcte en tres casos: la clau de la CA està compromesa, l estat d emissió s ha perdut sense remei o canvies deliberadament l algorisme o la política. Els tres són projectes amb un pla de reinscripció per a cada client, no passos d una sol·licitud d un dispositiu. Si no s aplica cap, inscriu de manera incremental.