Potřebujete Easy-RSA pro OpenVPN? Záleží na tom, kdo vlastní CA

Návod říká, abyste před nastavením OpenVPN nainstalovali Easy-RSA, takže lidé předpokládají, že jde o jeden balík. Není. Easy-RSA je nástroj pro správu PKI, který řídí OpenSSL; OpenVPN je tunel. Jeden rozhoduje, komu se má věřit, druhý přenáší pakety.

Důležité srovnání není to, který nástroj je lepší. Ale to, kdo ve vaší organizaci vlastní vydavatele.

Co Easy-RSA vlastně je

Projekt se popisuje jako nástroj pro správu PKI X.509, přičemž kryptografickou práci dělá OpenSSL. To znamená, že obaluje generování klíčů, žádosti o certifikáty, politiku podpisu a odvolání do opakovatelné struktury adresářů. Nepřidává šifrovací vrstvu k zavedenému tunelu a nedělá RSA silnější než stejný klíč vytvořený jiným kompetentním nástrojem. Dělá to, že je pracovní postup auditovatelný.

To je skutečná výhoda, ale provozní, nikoli kryptografická.

Sledujte jeden notebook během registrace

Nový notebook vygeneruje vlastní klíč a odešle žádost o certifikát, takže soukromý klíč nikdy neopustí zařízení. Vydavatel pak tuto žádost podepíše typem, který vybere správná rozšíření pro roli klienta. V Easy-RSA je to ./easyrsa sign-req client laptop-a.

Operátor stále musí rozhodnout, že si tato osoba přístup zaslouží. Žádný podpisový nástroj neodvozuje oprávnění z běžného jména.

Podepsaný certifikát se vrací na zařízení, které drží odpovídající klíč, a nasazení VPN samostatně dodává důvěru serveru, ověřování identity, síťovou politiku a požadavky na účet. Soubor ve výstupním adresáři vydavatele nic z toho nedokazuje. Dokáže to jen dokončené navázání spojení.

Sledujte stejný notebook při odchodu

Právě u odebrání se volba vydavatele opravdu projeví. Použitelný postup identifikuje certifikát, zaznamená odvolání a vytvoří to, co závislé systémy potřebují k jeho odmítnutí. Easy-RSA odděluje ./easyrsa revoke laptop-a od ./easyrsa gen-crl, a druhý krok je ten, na který lidé zapomínají. Vygenerování CRL u vydavatele ho nedoručí žádnému ověřovateli VPN.

Distribuce, chování při opětovném načtení a to, co se stane s již navázanými relacemi, jsou rozhodnutí o nasazení, ne funkce nástroje.

Tato mezera je praktický argument pro zavedený postup proti hromadě ad-hoc příkazů openssl. Těžká část provozu vydavatele není první certifikát. Je to udržování soudržných záznamů o vydávání, zálohách, obnovách a odebráních, zatímco zařízení přicházejí a odcházejí.

Když vydavatel už existuje

Pokud vaše organizace už provozuje schválenou certifikační službu, registrujte se přes ni. Postavení druhé CA jen proto, že návod obsahoval příkazy Easy-RSA, vytváří práci s distribucí důvěry, práci se zálohami a druhou věc, kterou je třeba správně odvolat.

Místní vydavatel je závazek provozovat CA, ne zaškrtávací políčko v příručce nastavení.

Kdy je Easy-RSA správná volba

Pro malé soukromé nasazení, které opravdu potřebuje vlastního vydavatele, dává Easy-RSA soustředěný postup bez ručního skládání každé operace. původní návod k Easy-RSA pokrývá kroky žádosti, podpisu, odvolání a CRL v pořadí. Podpisový materiál CA držte u jeho určeného vlastníka; klienti potřebují vlastní přihlašovací údaje a příslušnou veřejnou důvěru, nikdy kopii podpisového klíče.

Návrh OpenVPN založený na PIN je jiné legitimní uspořádání důvěry, ne rozbitá PKI čekající na opravu. A přihlášení k účtu neodstraňuje potřebu ověřit server podle protokolu, který jste zvolili.

Než se rozhodnete, odpovězte na čtyři otázky: kdo schvaluje novou identitu, kde žije její soukromý klíč, jak se certifikát dostane ke klientovi a jak vysloužilá identita přestane být přijímána.