Brauchen Sie Easy-RSA für OpenVPN? Es kommt darauf an, wer die CA besitzt

Ein Tutorial sagt, man solle Easy-RSA installieren, bevor man OpenVPN einrichtet, also nehmen viele an, beides gehöre zusammen. Das stimmt nicht. Easy-RSA ist ein PKI-Verwaltungswerkzeug, das OpenSSL steuert; OpenVPN ist der Tunnel. Das eine entscheidet, wem vertraut werden soll, das andere bewegt Pakete.

Der entscheidende Vergleich ist nicht, welches Werkzeug besser ist. Sondern wer in Ihrer Organisation den Aussteller besitzt.

Was Easy-RSA tatsächlich ist

Das Projekt beschreibt sich als PKI-Verwaltungswerkzeug für X.509, wobei OpenSSL die kryptografische Arbeit leistet. Das heißt, es verpackt Schlüsselerzeugung, Zertifikatsanfragen, Signaturrichtlinie und Widerruf in ein wiederholbares Verzeichnislayout. Es fügt einem bestehenden Tunnel keine Verschlüsselungsschicht hinzu und macht RSA nicht stärker als derselbe Schlüssel aus einem anderen fachkundigen Werkzeug. Es macht den Arbeitsablauf überprüfbar.

Das ist ein echter Vorteil, aber ein betrieblicher und kein kryptografischer.

Begleiten Sie einen Laptop durch die Registrierung

Ein neuer Laptop erzeugt seinen eigenen Schlüssel und reicht eine Zertifikatsanfrage ein, sodass der private Schlüssel das Gerät nie verlässt. Der Aussteller signiert diese Anfrage dann mit einem Typ, der die richtigen Erweiterungen für eine Clientrolle auswählt. In Easy-RSA ist das ./easyrsa sign-req client laptop-a.

Der Betreiber muss trotzdem entscheiden, dass diese Person Zugang verdient. Kein Signaturwerkzeug leitet einen Anspruch aus einem allgemeinen Namen ab.

Das signierte Zertifikat geht zurück auf das Gerät, das den passenden Schlüssel hält, und die VPN-Bereitstellung liefert separat Serververtrauen, Identitätsprüfungen, Netzwerkrichtlinie und Kontoanforderungen. Eine Datei im Ausgabeverzeichnis des Ausstellers beweist davon nichts. Nur ein abgeschlossener Handshake tut das.

Begleiten Sie denselben Laptop hinaus

Beim Entfernen zeigt sich die Wahl des Ausstellers wirklich. Ein brauchbarer Workflow identifiziert das Zertifikat, zeichnet den Widerruf auf und erzeugt, was vertrauende Systeme brauchen, um es abzulehnen. Easy-RSA trennt ./easyrsa revoke laptop-a von ./easyrsa gen-crl, und der zweite Schritt ist der, den Leute vergessen. Eine CRL beim Aussteller zu erzeugen, liefert sie an keinen VPN-Prüfer.

Verteilung, Neuladeverhalten und was mit bereits aufgebauten Sitzungen geschieht, sind Bereitstellungsentscheidungen, keine Werkzeugfunktionen.

Diese Lücke ist das praktische Argument für einen etablierten Workflow gegenüber einem Haufen Ad-hoc-openssl-Befehlen. Das Schwierige am Betrieb eines Ausstellers ist nicht das erste Zertifikat. Es ist, Ausstellungsnachweise, Sicherungen, Erneuerungen und Entfernungen kohärent zu halten, während Geräte kommen und gehen.

Wenn es bereits einen Aussteller gibt

Wenn Ihre Organisation bereits einen freigegebenen Zertifikatsdienst betreibt, registrieren Sie sich darüber. Eine zweite CA aufzubauen, weil ein Tutorial Easy-RSA-Befehle enthielt, erzeugt Arbeit an der Vertrauensverteilung, Arbeit an Sicherungen und ein zweites Ding, das korrekt widerrufen werden muss.

Ein lokaler Aussteller ist eine Verpflichtung, eine CA zu betreiben, kein Häkchen in einer Einrichtungsanleitung.

Wann Easy-RSA die richtige Wahl ist

Für eine kleine private Bereitstellung, die wirklich einen eigenen Aussteller braucht, gibt Easy-RSA einen fokussierten Workflow, ohne jeden Vorgang von Hand zusammenzubauen. Der ursprüngliche Easy-RSA-Leitfaden deckt die Schritte Anfrage, Signieren, Widerrufen und CRL der Reihe nach ab. Bewahren Sie das CA-Signiermaterial bei seinem benannten Eigentümer auf; Clients brauchen ihre eigenen Anmeldedaten und das einschlägige öffentliche Vertrauen, niemals eine Kopie des Signierschlüssels.

Ein PIN-basiertes OpenVPN-Design ist eine andere legitime Vertrauensordnung, keine kaputte PKI, die auf Reparatur wartet. Und eine Kontoanmeldung beseitigt nicht die Notwendigkeit, den Server unter dem gewählten Protokoll zu authentifizieren.

Beantworten Sie vier Fragen, bevor Sie wählen: Wer genehmigt eine neue Identität, wo lebt ihr privater Schlüssel, wie erreicht das Zertifikat den Client, und wie hört eine ausgemusterte Identität auf, akzeptiert zu werden.