AWS Client VPN: pa CA ddylai gyhoeddi tystysgrifau cleient?

Gofynnir y cwestiwn tystysgrif ar AWS Client VPN fel cwestiwn cynnyrch, ac mae mewn gwirionedd yn gwestiwn gweithredol. Bydd unrhyw un o’r tri threfniad arferol yn cynnal tiwnel gweithredol: CA sefydliadol presennol, cyhoeddwr hunan-redeg pwrpasol, neu AWS Private CA. Maent yn wahanol o ran pwy sy’n cymeradwyo dyfais, pwy sy’n dal yr allwedd lofnodi, a phwy sy’n ateb pan fo gliniadur yn diflannu ar awr anghyfleus. Dewiswch yr opsiwn y gallwch enwi ei berchennog.

Nid yw AWS yn gofyn am Private CA ar gyfer dilysu tystysgrif. Mae rhoi tystysgrif gweinydd yn ACM yn gam defnyddiad, nid yn broses gofrestru.

Y tri amod sy’n penderfynu

Mae tri amod yn gwahanu’r opsiynau’n glir: a oes proses gofrestru dyfeisiau gymeradwy eisoes yn bodoli, a allwch redeg allwedd lofnodi gyda chopïau wrth gefn a pherchennog enwebedig, a sut mae dirymiad yn cyrraedd y pwynt terfyn. Mae pob un yn agos at ie neu na, ac mae’r na cyntaf fel arfer yn setlo’r bensaernïaeth.

Gweithiwch drwyddynt yn eu trefn. Neidio’n syth at gymharu cost yw sut mae timau’n gorffen gyda CA rheoledig a neb yn gwybod pwy sy’n cyhoeddi’r dystysgrif gliniadur nesaf.

Amod un: a oes cofrestriad eisoes?

Os yw eich sefydliad eisoes yn rhedeg CA gyda llwybr cofrestru dyfeisiau cymeradwy, cyhoeddi tystysgrifau cleient Client VPN ohono yw’r llwybr byrraf. Mae’r cymeradwyaethau, y broses a’r cofnodion asedau eisoes yno. Mae cyhoeddwr israddol pwrpasol o dan y hierarchaeth honno fel arfer yn well na’r CA cyhoeddi cyffredinol, oherwydd ei fod yn rhoi ffin ymddiriedaeth ei hun i’r VPN a’i restr dirymu ei hun. Cadwch y rhestr honno ar wahân i weddill yr hierarchaeth fel nad yw digwyddiad VPN yn gorfodi newid ledled y PKI i gyd.

Os nad oes proses o’r fath, y cwestiwn gwirioneddol yw a ydych am adeiladu un. Mae CA yn hawdd ei dechrau ac yn ddrud ei berchenogi’n wael.

Amod dau: a allwch redeg allwedd lofnodi?

Mae cyhoeddwr hunan-redeg yn gweithio gyda’r model mewnforio dogfennol, a gall EasyRSA neu offeryn mewnol bach gynhyrchu’r deunydd. Nid rhedeg y gorchymyn yw’r rhan anodd. Y rhan anodd yw copïau wrth gefn all-lein o’r allwedd lofnodi, llwybr adfer y mae rhywun wedi’i brofi mewn gwirionedd, perchennog nad yw ar wyliau, a rheol nad yw’r allwedd byth yn glanio mewn pecyn cleient nac mewn allbwn ffurfweddiad. Ysgrifennwch hynny fel gweithdrefn cyn i’r dystysgrif gyntaf gael ei chyhoeddi, nid ar ôl y digwyddiad cyntaf.

Mae AWS Private CA yn symud y gofal hwnnw i wasanaeth rheoledig. Nid yw’n symud y polisi cofrestru, y cam cymeradwyo, nac anfon y dystysgrif i’r ddyfais.

Amod tri: sut mae dirymiad yn cyrraedd?

Mae Client VPN yn defnyddio rhestr dirymu tystysgrifau cleient a fewnforiwch i’r pwynt terfyn, fel y disgrifir yn y canllaw cylch bywyd tystysgrifau. Nid yw cyhoeddi CRL mewn man arall yn eich PKI yn ei wthio i’r gwasanaeth. Mae’r mewnforio yn weithrediad ar wahân ac wedi’i amserlennu, ac mae rhestr wedi dod i ben yn atal cysylltiadau yn hytrach na dirywio’n dawel. Rhowch yr adnewyddiad ar yr un calendr â’r tystysgrifau eu hunain.

Mae hynny’n gwneud adnewyddu yn eitem fonitro gyda pherchennog, nid yn dasg y byddwch yn ei gorffen wrth lansio. Dirymwch un dystysgrif brawf o’r dechrau i’r diwedd cyn i chi fod angen y mecanwaith o ddifrif.

Yr hyn nad yw’r un opsiwn yn ei ddileu

Mae pob opsiwn yn dal i fod angen un dystysgrif cleient a gorchymyn allwedd ar wahân ar gyfer pob dyfais a reolir yn annibynnol. Mae tiwtorial sy’n dosbarthu un hunaniaeth i bawb yn llwybr byr tiwtorial, ac mae hefyd yn gwneud dirymiad dethol yn amhosibl.

Nid oes gan dystysgrifau gweinydd a fewnforiwyd yn ACM adnewyddiad rheoledig, felly rhaid i’r perchennog gael yr amnewidiad, ei ailfewnforio, ac yna cadarnhau bod y pwynt terfyn wedi’i fabwysiadu. Nid yw adnewyddu’r dystysgrif gweinydd yn adnewyddu’r cardiau adnabod cleient sydd eisoes ar y gliniaduron. Mae’r rheini’n gylchoedd bywyd ar wahân â chalendrau ar wahân.

Gwiriwch y mathau o allwedd a’r estyniadau y mae’r gwasanaeth yn eu derbyn cyn i chi gyhoeddi unrhyw beth. Nid yw’r ffaith bod CA yn cefnogi algorithm yn golygu y bydd y pwynt terfyn yn ei dderbyn.

Cyn lansio, rhedwch un adnewyddiad ac un tynnu cleient trwy’r llif gwaith a ddewisoch, ac ysgrifennwch pa gredydyn a newidiodd, pa osodiad pwynt terfyn a newidiodd, a beth ddigwyddodd i’r sesiwn weithredol. Os yw’r ymarferiad hwnnw’n gorffen heb berchennog clir, nid yw’r dewis cyhoeddwr wedi gorffen.