Ĉu vi bezonas Easy-RSA por OpenVPN? Dependas de tio, kiu posedas la CA-on

Instrukcio diras, ke oni instalas Easy-RSA antaŭ ol starigi OpenVPN, do homoj supozas, ke la du apartenas kune. Ili ne apartenas. Easy-RSA estas PKI-administra ilo, kiu stiras OpenSSL; OpenVPN estas la tunelo. Unu decidas, kiun oni fidas, la alia movas pakaĵojn.

La komparo, kiu gravas, ne estas, kiu ilo pli bonas. Ĝi estas, kiu posedas la eldonanton en via organizo.

Kio Easy-RSA efektive estas

La projekto priskribas sin kiel PKI-administran ilon por X.509, dum OpenSSL faras la kriptografian laboron. Tio signifas, ke ĝi pakas ŝlosilproduktadon, atestpetojn, subskriban politikon kaj revokadon en ripeteblan dosierujan strukturon. Ĝi ne aldonas ĉifradan tavolon al establita tunelo, kaj ĝi ne faras RSA pli forta ol la sama ŝlosilo produktita de alia kompetenta ilo. Kion ĝi faras, estas igi la labfluon aŭdebla.

Tio estas reala avantaĝo, sed operacia, ne kriptografia.

Sekvu unu tekkomputilon tra la aliĝo

Nova tekkomputilo generas sian propran ŝlosilon kaj sendas atestpeton, do la privata ŝlosilo neniam forlasas la aparaton. La eldonanto poste subskribas tiun peton per tipo, kiu elektas la ĝustajn etendojn por klienta rolo. En Easy-RSA tio estas ./easyrsa sign-req client laptop-a.

La funkciiganto ankoraŭ devas decidi, ke ĉi tiu persono meritas aliron. Neniu subskriba ilo derivas rajton el komuna nomo.

La subskribita atestilo revenas al la aparato, kiu tenas la kongruan ŝlosilon, kaj la VPN-enkonduko aparte provizas servilan fidon, identecajn kontrolojn, retpolitikon kaj kontpostulojn. Dosiero en la eliga dosierujo de la eldonanto pruvas neniom el tio. Nur kompletigita manpremo faras tion.

Sekvu la saman tekkomputilon eksteren

Forigo estas la loko, kie la elekto de eldonanto vere montriĝas. Uzebla labfluo identigas la atestilon, registras la revokadon kaj produktas tion, kion bezonas dependaj sistemoj por malakcepti ĝin. Easy-RSA apartigas ./easyrsa revoke laptop-a de ./easyrsa gen-crl, kaj la dua paŝo estas tiu, kiun homoj forgesas. Generi CRL ĉe la eldonanto ne transdonas ĝin al iu ajn VPN-kontrolanto.

Disdonado, rekarga konduto kaj tio, kio okazas al jam establitaj sesioj, estas enkondukaj decidoj, ne ilaj trajtoj.

Tiu breĉo estas la praktika argumento por establita labfluo super amaso da ad hoc openssl-komandoj. La malfacila parto de funkciigi eldonanton ne estas la unua atestilo. Ĝi estas teni koherajn la eldonajn registrojn, sekurkopiojn, renovigojn kaj forigojn dum aparatoj venas kaj foriras.

Kiam eldonanto jam ekzistas

Se via organizo jam funkciigas aprobitan atestservon, aliĝu tra ĝi. Starigi duan CA ĉar instrukcio enhavis Easy-RSA-komandojn kreas laboron pri fida disdonado, laboron pri sekurkopioj kaj duan aferon, kiun oni devas ĝuste revoki.

Loka eldonanto estas devontigo funkciigi CA, ne markobutono en agorda gvidilo.

Kiam Easy-RSA estas la ĝusta elekto

Por malgranda privata enkonduko, kiu vere bezonas sian propran eldonanton, Easy-RSA donas fokusitan labfluon sen kunmeti ĉiun operacion permane. La originala Easy-RSA-gvidilo kovras la paŝojn de peto, subskribo, revoko kaj CRL laŭorde. Tenu la CA-subskriban materialon ĉe ĝia difinita posedanto; klientoj bezonas siajn proprajn legitimilojn kaj la rilatan publikan fidon, neniam kopion de la subskriba ŝlosilo.

PIN-bazita OpenVPN-aranĝo estas alia laŭleĝa fida aranĝo, ne rompita PKI atendanta riparon. Kaj konta ensaluto ne forigas la bezonon aŭtentigi la servilon laŭ ajna protokolo, kiun vi elektis.

Respondu kvar demandojn antaŭ ol elekti: kiu aprobas novan identecon, kie loĝas ĝia privata ŝlosilo, kiel la atestilo atingas la klienton, kaj kiel emerita identeco ĉesas esti akceptata.