Ychwanegu cleient VPN heb ailadeiladu’r CA

Mae angen un dystysgrif arall arnoch ar gyfer un gliniadur arall, ond mae’r tiwtorial cyntaf yn y canlyniadau chwilio yn dechrau gyda gorchymyn sy’n dileu’r cyfeiriadur PKI. Mae’r gorchymyn hwnnw’n perthyn i’r gosodiad cyntaf, nid i gofrestru, ac mae’n costio’r CA, hanes y cyhoeddiadau a phob proffil cleient a ymddiriedai yn yr hen gyhoeddwr. Mae’r penderfyniad yn gulach: a oes gan eich cyhoeddwr gyflwr defnyddiadwy o hyd, ac a yw’r ddyfais newydd yn ffitio eich polisi cofrestru? Mae tri amod yn penderfynu, a dim ond un sy’n cyfiawnhau ailadeiladu.

Beth mae ailadeiladu yn ei ddinistrio mewn gwirionedd

Mae ailgychwyn PKI yn disodli’r cyfeiriadur â strwythur gwag: allwedd a thystysgrif CA newydd, cronfa gyhoeddi wag, a chownter rhifau cyfres newydd. Nid yw cleientiaid yn dilyn yn dawel; mae eu proffiliau yn pinio’r hen CA, felly rhaid cofrestru pob dyfais eto, a’r rhai na ellir eu cyrraedd â llaw.

Y golled dawelach yw’r cyfrifon. Mae dirymu yn dibynnu ar wybod pa rifau cyfres y gwnaethoch eu cyhoeddi a phwy. Cliriwch y mynegai ac fe allwch lofnodi o hyd, ond ni allwch ddweud yn hyderus pa dystysgrifau yr oeddech am eu dirymu. Mae cyfeiriadur CA gyda thystysgrifau heb gyflwr cyhoeddwr cyfatebol yn gopi wrth gefn sy’n adfer y hanner anghywir.

Mae copio allwedd breifat y CA wrth ymyl y gweinydd sy’n rhedeg yn y llwybr byr arall i’w wrthod: mae’n troi awdurdod llofnodi a ddylai fod all-lein yn ffeil arall ar westeiwr â thraffig anniogel.

Amod un: a yw cyflwr y cyhoeddwr yn dal yn gyrraeddadwy?

Dewch o hyd i’r cyfeiriadur y mae’r gweinydd yn ymddiried ynddo mewn gwirionedd cyn penderfynu. Cymharwch y dystysgrif y mae’r gweinydd yn ei chyflwyno fel CA â’r un yn eich cyfeiriadur PKI drwy olion bysedd, nid drwy enw’r ffeil:

openssl x509 -in ca.crt -noout -fingerprint -sha256
openssl x509 -in /etc/openvpn/ca.crt -noout -fingerprint -sha256

Os yw’r olion yn cyfateb, mae’r cofrestriad yn gynyddol ac ni ddylech ailadeiladu dim. Os ydynt yn gwahaniaethu, byddwch yn llofnodi gyda CA nad yw’r gweinydd yn ymddiried ynddo: mae’r dystysgrif yn gosod yn lân ac yn methu yn y cydlawenhau, ac mae’r gwall hwnnw’n cael ei gamddiagnosio fel nam cleient am oriau.

Yna chwiliwch am gyflwr y cyhoeddi: y ffeil mynegai, y cownter cyfres a’r ffeil rhif CRL. Os yw’r mynegai wedi mynd ond yr allwedd yn goroesi, gallwch gyhoeddi, ond rydych yn etifeddu problem cofnodi dirymiadau. Nodwch hynny yn y cofnod newidiadau, oherwydd bydd y cais dirymu nesaf yn ei ddatgelu.

Amod dau: pwy sy’n dal yr allwedd breifat newydd?

Dyma’r penderfyniad y mae defnyddwyr yn ei deimlo, felly penderfynwch yn benodol. Mae allwedd a gynhyrchir gan y cleient ac a gyflwynir fel cais yn cadw’r hanner preifat ar y ddyfais o’r gorchymyn cyntaf, ac nid yw’r gweinyddwr byth yn ei thrin. Mae allwedd a gynhyrchir ar y gweinydd yn haws i ddyfeisiau heb offer, ond mae’n gwneud y gweinyddwr yn warcheidwad pob allwedd ac yn ehangu effaith cyfaddawd gweinydd.

Gyda Easy-RSA 3 yn erbyn CA presennol, mewngludo a llofnodi cais yw dau orchymyn:

./easyrsa import-req /tmp/alice.req alice
./easyrsa sign-req client alice

Dewiswch y math o dystysgrif yn fwriadol. Mae cais a lofnodir fel tystysgrif gweinydd yn lle cleient yn rhoi ffeil sy’n edrych yn iawn ac a wrthodir gan y cymar, ac anaml y mae’r gwall yn dweud pam. Gyda openssl ca mae’r un dewis yn yr estyniadau a roddwch, nid yn yr adran ragosod.

Amod tri: a oes angen mwy na thystysgrif ar y gweinydd?

Ar gyfer gweinydd OpenVPN cyffredin â dilysu tystysgrif, y dystysgrif yw’r cofrestriad: daw’r enw cyffredin yn hunaniaeth y cleient, ac mae unrhyw gyfeiriadur, llwybr a wthir neu gyfeiriad statig yn dibynnu ar yr enw hwnnw. Ychwanegwch y dystysgrif a gollyngwch y ffurfweddiad, mae’r tiwnel yn cysylltu ond nid yw’r llwybrau angenrheidiol yn ymddangos.

Mae platfformau yn newid hyn. Mae OpenVPN Access Server yn cadw ei gronfa defnyddwyr ei hun, felly nid yw tystysgrif lofnodwyd yn gyfrif; rhaid i’r cyfrif fodoli a chael caniatâd. Mae pyrth eraill yn mapio llinyn hunaniaeth i grŵp. Mae cofrestru un ddyfais fel arfer yn cyffwrdd dau system, a’r dystysgrif yw’r cyntaf yn unig.

Y weithdrefn gynyddol, a phryd y mae ailadeiladu yn iawn

Y dilyniant sy’n ychwanegu un ddyfais heb ddifrod: cadarnhewch y cyhoeddwr drwy olion bysedd, cymerwch gopi newydd o’r cyfeiriadur PKI, mewngludwch a llofnodwch y cais ar gyfer rôl y cleient, trosglwyddwch y dystysgrif gyda’i chadwyn drwy’r sianel gymeradwy, yna gwiriwch cyn i’r defnyddiwr gysylltu:

openssl verify -CAfile ca.crt alice.crt
openssl x509 -in alice.crt -noout -subject -issuer -dates -purpose

Dylai’r llinell pwrpas ddangos SSL client. Gorffennwch drwy ddiweddaru copi’r CA ar ôl y cyhoeddiad, oherwydd mae copi a gymerwyd cyn y rhif cyfres newydd yn adfer cyflwr heb y ddyfais a ychwanegwyd gennych.

Mae ailadeiladu yn iawn mewn tri achos: mae allwedd y CA wedi ei chyfaddawdu, mae cyflwr y cyhoeddi wedi ei golli yn anadferadwy, neu rydych yn newid algorithm allwedd neu bolisi tystysgrif yn fwriadol. Mae’r tri yn brosiectau â chynllun ailsgofrestru ar gyfer pob cleient, nid camau mewn cais un ddyfais. Os nad oes yr un yn gymwys, cofrestwch yn gynyddol.