VPN-kliendi lisamine ilma CA-d ümber ehitamata

Vajate veel üht sertifikaati veel ühe sülearvuti jaoks, kuid otsingutulemuste esimene õpetus algab käsuga, mis kustutab PKI kataloogi. See käsk kuulub esmaseadistusse, mitte registreerimisse, ja selle käivitamine maksab teile CA, väljastusajaloo ja iga kliendiprofiili, mis usaldas vana väljaandjat. Otsus on kitsam: kas väljaandjal on veel kasutatav olek ja kas uus seade sobib teie registreerimispoliitikasse? Kolm tingimust otsustavad ja ainult üks õigustab ümberehitust.

Mida ümberehitus tegelikult hävitab

PKI uuesti algatamine asendab kataloogi tühja struktuuriga: uus CA võti ja sertifikaat, tühi väljastusandmebaas, uus seerianumbri loendur. Kliendid ei järgi vaikselt; nende profiilid kinnitavad vana CA, seega tuleb iga seade uuesti registreerida ja kättesaamatud käsitsi.

Vaiksem kaotus on arvepidamine. Tühistamine sõltub sellest, kas teate, millised seerianumbrid kellele väljastasite. Kustutage indeks ja saate ikka allkirjastada, kuid ei saa kindlalt öelda, millised väljastatud sertifikaatidest tahtsite tühistada. CA kataloog sertifikaatidega ilma vastava väljaandja olekuta on varukoopia, mis taastab süsteemi vale poole.

CA privaatvõtme kopeerimine töötava serveri kõrvale on teine lühike tee, millest tasub keelduda: see teeb allkirjastamisvolituse, mis peaks olema võrgust väljas, veel üheks failiks ebausaldusväärse liiklusega hostil.

Esimene tingimus: kas väljaandja olek on veel kättesaadav?

Leidke kataloog, mida server tegelikult usaldab, enne kui otsustate. Võrrelge sertifikaati, mille server esitab CA-na, PKI kataloogis olevaga sõrmejälje järgi, mitte failinime järgi:

openssl x509 -in ca.crt -noout -fingerprint -sha256
openssl x509 -in /etc/openvpn/ca.crt -noout -fingerprint -sha256

Kui sõrmejäljed kattuvad, on registreerimine kasvav ja te ei ehitata midagi ümber. Kui erinevad, allkirjastate CA-ga, mida server ei usalda: sertifikaat paigaldub puhtalt ja ebaõnnestub käepigistuses, ning seda viga diagnoositakse tunde kliendi veana.

Seejärel otsige väljastusolekut: indeksfail, seerialoendur ja CRL-i numbri fail. Kui indeks on kadunud, aga võti alles, saate väljastada, kuid pärite tühistuste registreerimise probleemi. Märkige see muudatuste logisse, sest järgmine tühistustaotlus paljastab selle.

Teine tingimus: kelle käes on uus privaatvõti?

Seda otsust tunnevad kasutajad, seega tehke see selgesõnaliselt. Kliendil loodud ja taotlusena esitatud võti jätab privaatse poole seadmesse juba esimesest käsust ja administraator ei puutu seda kunagi. Serveril loodud võti on lihtsam seadmetele ilma tööriistadeta, kuid teeb administraatorist iga kliendi võtme hoidja ja suurendab serveri kompromiteerimise mõju.

Easy-RSA 3-ga olemasoleva CA vastu on taotluse importimine ja allkirjastamine kaks käsku:

./easyrsa import-req /tmp/alice.req alice
./easyrsa sign-req client alice

Valige sertifikaadi tüüp teadlikult. Kliendi asemel serverisertifikaadina allkirjastatud taotlus annab faili, mis näeb hea välja ja mille partner tagastab, ning veateade ütleb harva miks. Kui allkirjastate openssl ca-ga, elab sama valik laiendustes, mitte vaikejaotises.

Kolmas tingimus: kas server vajab enamat kui sertifikaat?

Tavalise sertifikaadiga autentimisega OpenVPN serveri jaoks on sertifikaat ise registreerimine: üldnimi saab kliendi identiteediks ning iga kliendikataloog, lükatud marsruut või staatiline aadress sõltub sellest nimest. Lisage sertifikaat ja unustage konfiguratsioon, tunnel ühendub, kuid vajalikud marsruudid ei ilmu.

Platvormid muudavad seda. OpenVPN Access Server hoiab oma kasutajabaasi, seega allkirjastatud sertifikaat ei ole konto; konto peab olemas olema ja lubatud. Teised lüüsid seovad identiteedirea grupiga. Ühe seadme registreerimine puudutab tavaliselt kahte süsteemi ja sertifikaat on ainult esimene.

Kasvav protseduur ja millal on ümberehitus õige

Järjestus, mis lisab seadme kahjustusteta: kinnitage väljaandja sõrmejäljega, tehke PKI kataloogist värske varukoopia, importige ja allkirjastage taotlus kliendirolli jaoks, toimetage sertifikaat koos ahelaga heakskiidetud kanali kaudu ja kontrollige enne kasutaja ühendumist:

openssl verify -CAfile ca.crt alice.crt
openssl x509 -in alice.crt -noout -subject -issuer -dates -purpose

Otstarbeline rida peaks näitama SSL client. Lõpetage CA varukoopia uuendamisega pärast väljastust, sest enne uut seerianumbrit tehtud koopia taastab oleku ilma äsja lisatud seadmeta.

Ümberehitus on õige kolmel juhul: CA võti on kompromiteeritud, väljastusolek on pöördumatult kadunud või muudate teadlikult võtmealgoritmi või sertifikaadipoliitikat. Kõik kolm on projektid, millel on iga kliendi uuesti registreerimise plaan, mitte sammud ühe seadme taotluses. Kui ükski ei kehti, registreerige kasvavalt.