Χρειάζεστε το Easy-RSA για το OpenVPN; Εξαρτάται από το ποιος κατέχει την CA

Ένα φροντιστήριο λέει να εγκαταστήσετε το Easy-RSA πριν στήσετε το OpenVPN, οπότε ο κόσμος υποθέτει ότι τα δύο πάνε πακέτο. Δεν πάνε. Το Easy-RSA είναι εργαλείο διαχείρισης PKI που οδηγεί το OpenSSL· το OpenVPN είναι η σήραγγα. Το ένα αποφασίζει σε ποιον θα δοθεί εμπιστοσύνη, το άλλο μεταφέρει πακέτα.

Η σύγκριση που μετράει δεν είναι ποιο εργαλείο είναι καλύτερο. Είναι ποιος κατέχει τον εκδότη στον οργανισμό σας.

Τι είναι στην πραγματικότητα το Easy-RSA

Το έργο περιγράφει τον εαυτό του ως εργαλείο διαχείρισης PKI X.509, με το OpenSSL να κάνει την κρυπτογραφική δουλειά. Αυτό σημαίνει ότι τυλίγει την παραγωγή κλειδιών, τα αιτήματα πιστοποιητικών, την πολιτική υπογραφής και την ανάκληση σε μια επαναλήψιμη δομή καταλόγων. Δεν προσθέτει στρώμα κρυπτογράφησης σε μια εγκατεστημένη σήραγγα και δεν κάνει το RSA ισχυρότερο από το ίδιο κλειδί που παράγει ένα άλλο ικανό εργαλείο. Αυτό που κάνει είναι να καθιστά τη ροή εργασίας ελέγξιμη.

Αυτό είναι πραγματικό όφελος, αλλά λειτουργικό και όχι κρυπτογραφικό.

Ακολουθήστε ένα φορητό υπολογιστή στην εγγραφή

Ένας νέος φορητός υπολογιστής παράγει το δικό του κλειδί και υποβάλλει αίτημα πιστοποιητικού, ώστε το ιδιωτικό κλειδί να μην φεύγει ποτέ από τη συσκευή. Ο εκδότης υπογράφει έπειτα αυτό το αίτημα με τύπο που επιλέγει τις σωστές επεκτάσεις για ρόλο πελάτη. Στο Easy-RSA αυτό είναι ./easyrsa sign-req client laptop-a.

Ο χειριστής πρέπει ακόμη να αποφασίσει ότι αυτό το άτομο αξίζει πρόσβαση. Κανένα εργαλείο υπογραφής δεν συνάγει δικαίωμα από ένα κοινό όνομα.

Το υπογεγραμμένο πιστοποιητικό επιστρέφει στη συσκευή που κρατά το αντίστοιχο κλειδί, και η ανάπτυξη του VPN παρέχει χωριστά εμπιστοσύνη διακομιστή, ελέγχους ταυτότητας, πολιτική δικτύου και απαιτήσεις λογαριασμού. Ένα αρχείο στον κατάλογο εξόδου του εκδότη δεν αποδεικνύει τίποτα από αυτά. Μόνο μια ολοκληρωμένη χειραψία το κάνει.

Ακολουθήστε τον ίδιο φορητό υπολογιστή στην έξοδο

Η αφαίρεση είναι το σημείο όπου φαίνεται πραγματικά η επιλογή εκδότη. Μια χρησιμοποιήσιμη ροή εργασίας αναγνωρίζει το πιστοποιητικό, καταγράφει την ανάκληση και παράγει ό,τι χρειάζονται τα συστήματα που βασίζονται σε αυτό για να το απορρίψουν. Το Easy-RSA διαχωρίζει ./easyrsa revoke laptop-a από ./easyrsa gen-crl, και το δεύτερο βήμα είναι αυτό που ξεχνούν οι άνθρωποι. Η παραγωγή CRL στον εκδότη δεν την παραδίδει σε κανέναν επαληθευτή VPN.

Η διανομή, η συμπεριφορά επαναφόρτωσης και το τι συμβαίνει σε συνεδρίες που έχουν ήδη στηθεί είναι αποφάσεις ανάπτυξης, όχι χαρακτηριστικά εργαλείου.

Αυτό το κενό είναι το πρακτικό επιχείρημα υπέρ μιας καθιερωμένης ροής εργασίας έναντι ενός σωρού ad hoc εντολών openssl. Το δύσκολο κομμάτι στη λειτουργία ενός εκδότη δεν είναι το πρώτο πιστοποιητικό. Είναι να κρατάτε συνεπή τα αρχεία έκδοσης, τα αντίγραφα ασφαλείας, τις ανανεώσεις και τις αφαιρέσεις καθώς οι συσκευές έρχονται και φεύγουν.

Όταν υπάρχει ήδη εκδότης

Αν ο οργανισμός σας εκτελεί ήδη εγκεκριμένη υπηρεσία πιστοποιητικών, εγγραφείτε μέσω αυτής. Το να στήσετε δεύτερη CA επειδή ένα φροντιστήριο περιλάμβανε εντολές Easy-RSA δημιουργεί δουλειά διανομής εμπιστοσύνης, δουλειά αντιγράφων ασφαλείας και ένα δεύτερο πράγμα που πρέπει να ανακληθεί σωστά.

Ένας τοπικός εκδότης είναι δέσμευση να λειτουργείτε CA, όχι ένα πλαίσιο ελέγχου σε οδηγό εγκατάστασης.

Πότε το Easy-RSA είναι η σωστή επιλογή

Για μια μικρή ιδιωτική ανάπτυξη που χρειάζεται πραγματικά δικό της εκδότη, το Easy-RSA δίνει μια εστιασμένη ροή εργασίας χωρίς να συναρμολογείτε κάθε λειτουργία με το χέρι. Ο αρχικός οδηγός του Easy-RSA καλύπτει τα βήματα αίτησης, υπογραφής, ανάκλησης και CRL με τη σειρά. Κρατήστε το υλικό υπογραφής της CA στον καθορισμένο ιδιοκτήτη του· οι πελάτες χρειάζονται τα δικά τους διαπιστευτήρια και τη σχετική δημόσια εμπιστοσύνη, ποτέ αντίγραφο του κλειδιού υπογραφής.

Ένας σχεδιασμός OpenVPN βασισμένος σε PIN είναι άλλη μια νόμιμη ρύθμιση εμπιστοσύνης, όχι μια χαλασμένη PKI που περιμένει επισκευή. Και η σύνδεση λογαριασμού δεν αφαιρεί την ανάγκη να πιστοποιηθεί ο διακομιστής με όποιο πρωτόκολλο επιλέξατε.

Απαντήστε σε τέσσερα ερωτήματα πριν επιλέξετε: ποιος εγκρίνει μια νέα ταυτότητα, πού ζει το ιδιωτικό της κλειδί, πώς φτάνει το πιστοποιητικό στον πελάτη και πώς μια συνταξιοδοτημένη ταυτότητα παύει να γίνεται δεκτή.