Har du brug for Easy-RSA til OpenVPN? Det afhænger af, hvem der ejer CA’en

En vejledning siger, at du skal installere Easy-RSA, før du sætter OpenVPN op, så folk antager, at de to hører sammen. Det gør de ikke. Easy-RSA er et PKI-administrationsværktøj, der driver OpenSSL; OpenVPN er tunnelen. Den ene beslutter, hvem der skal betros, den anden flytter pakker.

Sammenligningen, der betyder noget, er ikke, hvilket værktøj der er bedst. Det er, hvem der ejer udstederen i din organisation.

Hvad Easy-RSA egentlig er

Projektet beskriver sig selv som et PKI-administrationsværktøj til X.509, hvor OpenSSL udfører det kryptografiske arbejde. Det betyder, at det pakker nøglegenerering, certifikatanmodninger, signeringspolitik og tilbagekaldelse ind i en gentagelig mappestruktur. Det tilføjer ikke et krypteringslag til en etableret tunnel, og det gør ikke RSA stærkere end den samme nøgle, som et andet kompetent værktøj har lavet. Det, det gør, er at gøre arbejdsgangen reviderbar.

Det er en reel fordel, men det er en driftsfordel snarere end en kryptografisk.

Følg én bærbar computer gennem tilmeldingen

En ny bærbar computer genererer sin egen nøgle og indsender en certifikatanmodning, så den private nøgle forlader aldrig enheden. Udstederen signerer derefter anmodningen med en type, der vælger de rigtige udvidelser til en klientrolle. I Easy-RSA er det ./easyrsa sign-req client laptop-a.

Operatøren skal stadig beslutte, at denne person fortjener adgang. Intet signeringsværktøj udleder adgang fra et almindeligt navn.

Det signerede certifikat går tilbage til den enhed, der har den matchende nøgle, og VPN-udrulningen leverer separat servertillid, identitetskontroller, netværkspolitik og kontokrav. En fil i udstederens outputmappe beviser intet af det. Kun et fuldført håndtryk gør.

Følg den samme bærbare computer ud

Fjernelse er der, hvor valget af udsteder virkelig viser sig. En brugbar arbejdsgang identificerer certifikatet, registrerer tilbagekaldelsen og frembringer det, som systemer, der stoler på det, har brug for for at afvise det. Easy-RSA adskiller ./easyrsa revoke laptop-a fra ./easyrsa gen-crl, og det andet trin er det, folk glemmer. At generere en CRL på udstederen leverer den ikke til nogen VPN-verifikator.

Distribution, genindlæsningsadfærd og hvad der sker med sessioner, der allerede er etableret, er udrulningsbeslutninger, ikke værktøjsfunktioner.

Det gab er det praktiske argument for en etableret arbejdsgang frem for en bunke ad hoc-openssl-kommandoer. Den svære del ved at køre en udsteder er ikke det første certifikat. Det er at holde udstedelsesregistre, sikkerhedskopier, fornyelser og fjernelser sammenhængende, når enheder kommer og går.

Når der allerede findes en udsteder

Hvis din organisation allerede kører en godkendt certifikattjeneste, så tilmeld dig gennem den. At rejse en ekstra CA, fordi en vejledning indeholdt Easy-RSA-kommandoer, skaber arbejde med tillidsdistribution, arbejde med sikkerhedskopier og endnu en ting, der skal tilbagekaldes korrekt.

En lokal udsteder er en forpligtelse til at drive en CA, ikke et afkrydsningsfelt i en opsætningsguide.

Hvornår Easy-RSA er det rigtige valg

Til en lille privat udrulning, der virkelig har brug for sin egen udsteder, giver Easy-RSA en fokuseret arbejdsgang uden at samle hver operation i hånden. Den oprindelige Easy-RSA-guide dækker trinnene anmodning, signering, tilbagekaldelse og CRL i rækkefølge. Hold CA-signeringsmaterialet hos sin udpegede ejer; klienter har brug for deres egne legitimationsoplysninger og den relevante offentlige tillid, aldrig en kopi af signeringsnøglen.

Et PIN-baseret OpenVPN-design er en anden legitim tillidsordning, ikke en brudt PKI, der venter på reparation. Og kontologin fjerner ikke behovet for at autentificere serveren under det protokol, du valgte.

Besvar fire spørgsmål, før du vælger: hvem godkender en ny identitet, hvor bor dens private nøgle, hvordan når certifikatet klienten, og hvordan holder en pensioneret identitet op med at blive accepteret.