Defnyddiwch eich CA menter presennol ar gyfer cymheiriaid OpenVPN

Nid oes unrhyw beth yn OpenVPN yn mynnu bod y dystysgrif yn dod o Easy-RSA, ac ni ddylai fflyd sydd eisoes â PKI sefydliadol adeiladu ail un fel arfer. Y gwaith go iawn yw penderfynu beth y mae'r hunaniaethau a ddyroddwyd yn ei olygu, pa gymheiriaid y mae'r twnnel yn eu derbyn, a sut y mae adnewyddu a dirymu yn cyrraedd y gwiriedydd, yn hytrach na dewis offeryn. Ewch drwy'r pum cam isod yn eu trefn, oherwydd ni all cam diweddarach atgyweirio penderfyniad rôl a wnaed yn y cyntaf.

Dyroddwch ddwy rôl yn lle un hunaniaeth a rannwyd

Mae angen tystysgrif ei hun a phrif allwedd gyfatebol ar bob cymheir. Gofynnwch i'r tîm PKI am hunaniaeth gweinydd sy'n cario defnydd gweinydd a hunaniaethau cleient ar wahân sy'n cario defnydd cleient, fel y gall y twnnel wahaniaethu rhyngddynt yn ystod yr ysgwyd llaw.

Gwrthwynebwch y llwybrau byr sy'n ymddangos dan bwysau terfynau amser. Mae allwedd gweinydd gwe yn cael ei chopïo ar liniaduron yn dileu'r gwahaniaeth y mae'r gwiriad rôl yn dibynnu arno, ac mae allwedd lofnodi CA wedi'i gosod ar bwynt terfyn VPN yn troi un gwesteiwr cyfaddawd yn hierarchaeth gyfaddawd. Gall bwndel PKCS12 gario allwedd pwynt terfyn a'i gadwyn, ond nid yw byth yn rhoi caniatâd i ailddefnyddio'r hunaniaeth honno mewn rôl arall.

Cysylltwch y mewnbynnau ymddiriedaeth ar bob ochr

Mae angen angor ymddiriedaeth, eu hunaniaeth eu hunain a disgwyliad rôl pendant ar y cleient a'r gweinydd ill dau. Mae darn cleient sy'n datgan y tri yn edrych fel hyn.

client
ca /etc/openvpn/pki/issuing-root.pem
cert /etc/openvpn/pki/device-17.crt
key /etc/openvpn/pki/device-17.key
remote-cert-tls server
verify-x509-name vpn.corp.example name
crl-verify /etc/openvpn/pki/issuing.crl

Mae ochr y gweinydd yn ei adlewyrchu gyda remote-cert-tls client a'i dystysgrif ei hun, a dyna sy'n atal tystysgrif cleient rhag cael ei derbyn fel gweinydd. Mae'r gwiriad enw yn benderfyniad ar wahân i'r gwiriad rôl. Darllenwch y ffurfweddiad a osodwyd i weld pa faes sy'n cael ei gymharu yn hytrach na thybio cyfatebiaeth enw gwesteiwr ar ddull porwr. Dylai'r ddwy ochr fod yn glir hefyd ynghylch pa ddyroddwr y maent yn ymddiried ynddo, oherwydd nid yw llwybr ffeil a rannwyd ar draws y fflyd yr un peth â pholisi a rannwyd.

Dosbarthwch y canolraddion heb ehangu ymddiriedaeth

Nid oes rhaid i'r ddwy ochr rannu un gadwyn ddyroddi. Pan fydd cymheir yn cyflwyno tystysgrif a lofnodwyd gan ganolradd, mae angen y canolradd hwnnw ar gael i'r ochr wirio, ac Mae OpenVPN yn gwahaniaethu'r mewnbwn angor ymddiriedaeth oddi wrth y tystysgrifau ychwanegol a ddefnyddir i gwblhau cadwyn a gyflwynir yn lleol. Mae'r cyfeirlyfr opsiynau TLS OpenVPN 2.6 yn dogfennu'r ddau.

Nid yw CA canolradd yn broblem ynddo'i hun, ond mae gwraidd menter eang a deflir i'r bwndel ymddiriedaeth. Po ehangaf yr angor, y mwyaf o dystysgrifau sy'n pasio'r prawf cadwyn, ac nid yw gwiriad rôl yn troi hynny'n rhestr o staff awdurdodedig. Culhewch yr angor i'r dyroddwr sy'n arwyddo hunaniaethau VPN mewn gwirionedd lle y mae'r hierarchaeth yn caniatáu. Os nad yw, dogfennwch yr angor ehangach fel risg a dderbyniwyd yn fwriadol yn hytrach na'i adael yn ymhlyg.

Cytunwch â'r tîm PKI ar sut y mae adnewyddu a dirymu yn cyrraedd y gwiryddion VPN, gan gynnwys pa ddyroddwyr sy'n bwysig a phwy sy'n cyhoeddi'r rhestr. Mae pwynt dosbarthu CRL sydd wedi'i fewnblannu mewn tystysgrif yn gyfarwyddyd, nid yn dystiolaeth bod rhywbeth wedi'i nôl.

Penderfynwch sut y mae dirymu yn cyrraedd mewn gwirionedd

Mae crl-verify yn gwneud i'r gwiriedydd ymgynghori â ffeil neu bwynt terfyn, ac mae angen perchennog a llwybr adnewyddu ar y trefniant hwnnw. Mae rhestr a chopïwyd unwaith yn ystod y defnydd yn stopio eich gwarchod yn dawel y tro cyntaf y bydd tystysgrif yn cael ei dirymu.

Nodwch yr amser lledaenu disgwyliedig a'i brofi â thystysgrif yr ydych yn fodlon ei dirymu. Os na ellir adnewyddu'r rhestr ar y gwesteiwr VPN, y dewis arall yw cyfnod dilysrwydd byrrach ynghyd â phroses adnewyddu sy'n rhedeg mewn gwirionedd, nid tybiaeth bod dirymu yn gweithio oherwydd bod URL yn bodoli.

Profwch dderbyniad â chleient go iawn

Cysylltwch gleient y dylid caniatáu iddo a chadarnhewch fanylion y dystysgrif a drafodwyd yn y log. Yna rhowch gynnig ar yr achosion sy'n rhaid methu: tystysgrif cleient a gyflwynir fel gweinydd, tystysgrif gan ddyroddwr y tu allan i'r angor ymddiriedaeth, a thystysgrif ddirymedig os oes gennych un wrth gefn.

Cofnodwch y dyroddwr a dderbyniwyd, y gwiriad rôl a'r ffynhonnell ddirymu wrth ymyl y proffil. Y cofnod hwnnw yw'r hyn y bydd angen yr peiriannydd nesaf pan fydd dyfais a weithiodd y mis diwethaf yn stopio cysylltu, ac mae hefyd yn dystiolaeth bod y CA menter yn cael ei ddefnyddio o fewn terfyn derbyn wedi'i ddogfennu yn hytrach nag fel dymp ymddiriedaeth pwrpas cyffredinol.