Oes angen Easy-RSA arnoch ar gyfer OpenVPN? Mae’n dibynnu pwy sy’n berchen ar y CA

Mae tiwtorial yn dweud i osod Easy-RSA cyn sefydlu OpenVPN, felly mae pobl yn cymryd yn ganiataol bod y ddau yn un pecyn. Nid ydynt. Mae Easy-RSA yn offeryn rheoli PKI sy’n gyrru OpenSSL; OpenVPN yw’r twnnel. Mae un yn penderfynu pwy i ymddiried ynddo, mae’r llall yn symud pecynnau.

Nid y cymhariaeth sy’n bwysig yw pa offeryn sy’n well. Y cwestiwn yw pa un sy’n berchen ar y dyroddwr yn eich sefydliad.

Beth yw Easy-RSA mewn gwirionedd

Mae’r prosiect yn disgrifio ei hun fel offeryn rheoli PKI X.509 gyda OpenSSL yn gwneud y gwaith cryptograffig. Mae hynny’n golygu ei fod yn lapio cynhyrchu allweddi, ceisiadau tystysgrif, polisi llofnodi a dirymu i mewn i gynllun cyfeiriaduron y gellir ei ailadrodd. Nid yw’n ychwanegu haen amgryptio at dwnnel sefydledig, ac nid yw’n gwneud RSA yn gryfach na’r un allwedd a gynhyrchir gan offeryn cymwys arall. Yr hyn y mae’n ei wneud yw gwneud y llif gwaith yn archwiladwy.

Mae hynny’n fantais wirioneddol, ond mae’n fantais weithredol yn hytrach nag un cryptograffig.

Dilynwch un gliniadur drwy’r cofrestru

Mae gliniadur newydd yn cynhyrchu ei allwedd ei hun ac yn cyflwyno cais tystysgrif, felly nid yw’r allwedd breifat byth yn gadael y ddyfais. Yna mae’r dyroddwr yn llofnodi’r cais hwnnw â math sy’n dewis yr estyniadau cywir ar gyfer rôl cleient. Yn Easy-RSA dyna ./easyrsa sign-req client laptop-a.

Rhaid i’r gweithredwr benderfynu o hyd fod y person hwn yn haeddu mynediad. Nid yw unrhyw offeryn llofnodi yn casglu hawl o enw cyffredin.

Mae’r dystysgrif lofnodedig yn mynd yn ôl i y ddyfais sy’n dal yr allwedd gyfatebol, ac mae’r defnydd o’r VPN yn darparu ymddiriedaeth gweinydd, gwiriadau hunaniaeth, polisi rhwydwaith a gofynion cyfrif ar wahân. Nid yw ffeil yng nghyfeiriadur allbwn y dyroddwr yn profi dim o hynny. Dim ond ysgwyd llaw wedi’i gwblhau sy’n gwneud hynny.

Dilynwch yr un gliniadur allan

Dileu yw’r lle mae dewis y dyroddwr yn dangos mewn gwirionedd. Mae llif gwaith defnyddiadwy yn nodi’r dystysgrif, yn cofnodi’r dirymiad ac yn cynhyrchu’r hyn sydd ei angen ar systemau dibynnol er mwyn ei gwrthod. Mae Easy-RSA yn gwahanu ./easyrsa revoke laptop-a oddi wrth ./easyrsa gen-crl, a’r ail gam yw’r un y mae pobl yn ei anghofio. Nid yw cynhyrchu CRL ar y dyroddwr yn ei gyflenwi i unrhyw wirydd VPN.

Mae dosbarthu, ymddygiad ail-lwytho a’r hyn sy’n digwydd i sesiynau sydd eisoes wedi’u sefydlu yn benderfyniadau defnyddio, nid yn nodweddion offeryn.

Y bwlch hwnnw yw’r ddadl ymarferol dros lif gwaith sefydledig dros bentwr o orchmynion openssl ad hoc. Nid y dystysgrif gyntaf yw’r rhan anodd o redeg dyroddwr. Cadw cofnodion dyroddi, copïau wrth gefn, adnewyddiadau a dileadau’n gydlynol wrth i ddyfeisiau ddod a mynd yw hi.

Pan fydd dyroddwr eisoes yn bodoli

Os yw eich sefydliad eisoes yn rhedeg gwasanaeth tystysgrifau cymeradwy, cofrestrwch drwyddo. Mae sefydlu ail CA oherwydd bod tiwtorial yn cynnwys gorchmynion Easy-RSA yn creu gwaith dosbarthu ymddiriedaeth, gwaith copi wrth gefn ac ail beth i’w ddirymu’n gywir.

Mae dyroddwr lleol yn ymrwymiad i redeg CA, nid yn flwch ticio mewn canllaw gosod.

Pryd mae Easy-RSA yn benderfyniad cywir

Ar gyfer defnydd preifat bach sydd wir angen ei ddyroddwr ei hun, mae Easy-RSA yn rhoi llif gwaith canolbwyntiedig heb gydosod pob gweithrediad â llaw. Mae canllaw Easy-RSA gwreiddiol yn cwmpasu’r camau cais, llofnodi, dirymu a CRL yn eu trefn. Cadwch ddeunydd llofnodi’r CA gyda’i berchennog dynodedig; mae ar gleientiaid angen eu hundebau eu hunain a’r ymddiriedaeth gyhoeddus berthnasol, byth copi o’r allwedd lofnodi.

Mae dyluniad OpenVPN yn seiliedig ar PIN yn drefniant ymddiriedaeth dilys arall, nid PKI wedi torri sy’n aros i’w thrwsio. Ac nid yw mewngofnodi cyfrif yn dileu’r angen i ddilysu’r gweinydd o dan ba bynnag brotocol a ddewisoch.

Atebwch bedair cwestiwn cyn dewis: pwy sy’n cymeradwyo hunaniaeth newydd, ble mae ei hallwedd breifat yn byw, sut mae’r dystysgrif yn cyrraedd y cleient, a sut mae hunaniaeth a ymddeolwyd yn stopio cael ei derbyn.