Kas vajate OpenVPN-i jaoks Easy-RSA-d? Sõltub sellest, kellele CA kuulub

Üks õpetus ütleb, et enne OpenVPN-i seadistamist tuleb paigaldada Easy-RSA, mistõttu arvatakse, et need kaks käivad koos. Ei käi. Easy-RSA on PKI haldustööriist, mis juhib OpenSSL-i; OpenVPN on tunnel. Üks otsustab, keda usaldada, teine liigutab pakette.

Oluline võrdlus ei ole see, milline tööriist on parem. Vaid see, kellele kuulub teie organisatsioonis väljaandja.

Mis Easy-RSA tegelikult on

Projekt kirjeldab end X.509 PKI haldustööriistana, kus krüptograafilise töö teeb OpenSSL. See tähendab, et see pakib võtmete genereerimise, sertifikaaditaotlused, allkirjastamispoliitika ja tühistamise korratavasse kataloogistruktuuri. See ei lisa olemasolevale tunnelile krüpteerimiskihti ega muuda RSA-d tugevamaks kui sama võti, mille on tootnud mõni teine asjatundlik tööriist. See, mida see teeb, on töövoo auditeeritavaks muutmine.

See on tõeline eelis, kuid operatiivne, mitte krüptograafiline.

Jälgige ühte sülearvutit registreerimise käigus

Uus sülearvuti genereerib oma võtme ja esitab sertifikaaditaotluse, seega privaatvõti ei lahku kunagi seadmest. Seejärel allkirjastab väljaandja selle taotluse tüübiga, mis valib kliendi rolli jaoks õiged laiendid. Easy-RSA-s on see ./easyrsa sign-req client laptop-a.

Operaator peab ikkagi otsustama, et see inimene väärib juurdepääsu. Ükski allkirjastamistööriist ei tuleta õigust üldnimest.

Allkirjastatud sertifikaat läheb tagasi seadmesse, mis hoiab vastavat võtit, ja VPN-i juurutamine annab eraldi serveri usalduse, identiteedikontrollid, võrgupoliitika ja konto nõuded. Fail väljaandja väljundkataloogis ei tõesta sellest midagi. Seda teeb ainult lõpetatud kätlus.

Jälgige sama sülearvutit väljumisel

Eemaldamine on koht, kus väljaandja valik tõesti välja tuleb. Kasutatav töövoog tuvastab sertifikaadi, registreerib tühistamise ja toodab selle, mida sõltuvad süsteemid vajavad selle tagasilükkamiseks. Easy-RSA eraldab ./easyrsa revoke laptop-a ja ./easyrsa gen-crl, ja teine samm on see, mille inimesed unustavad. CRL-i genereerimine väljaandja juures ei anna seda ühelegi VPN-i kontrollijale.

Levitus, ümberlaadimise käitumine ja see, mis juhtub juba loodud sessioonidega, on juurutamisotsused, mitte tööriista omadused.

See lünk on praktiline argument väljakujunenud töövoo kasuks ad hoc openssl-käskude hunniku vastu. Väljaandja käitamise raske osa ei ole esimene sertifikaat. See on väljaandmisandmete, varukoopiate, uuenduste ja eemaldamiste sidusana hoidmine, kui seadmed tulevad ja lähevad.

Kui väljaandja on juba olemas

Kui teie organisatsioon juba käitab kinnitatud sertifikaaditeenust, registreerige selle kaudu. Teise CA püstitamine sellepärast, et õpetus sisaldas Easy-RSA käske, loob usalduse levitamise tööd, varukoopiate tööd ja veel ühe asja, mida tuleb õigesti tühistada.

Kohalik väljaandja on kohustus CA-d käitada, mitte linnuke seadistusjuhendis.

Millal on Easy-RSA õige valik

Väikese privaatse juurutuse jaoks, mis tõesti vajab oma väljaandjat, annab Easy-RSA keskendunud töövoo ilma iga toimingut käsitsi kokku panemata. Easy-RSA algne juhend katab taotluse, allkirjastamise, tühistamise ja CRL-i sammud järjekorras. Hoidke CA allkirjastamismaterjal selle määratud omaniku juures; kliendid vajavad oma volitusi ja asjakohast avalikku usaldust, mitte kunagi allkirjastamisvõtme koopiat.

PIN-põhine OpenVPN-i lahendus on teine õiguspärane usalduskorraldus, mitte parandamist ootav katkine PKI. Ja kontosse sisselogimine ei kõrvalda vajadust serverit autentida mis tahes valitud protokolli alusel.

Vastake enne valimist neljale küsimusele: kes kinnitab uue identiteedi, kus asub selle privaatvõti, kuidas sertifikaat kliendini jõuab ja kuidas pensionile jäänud identiteet lakkab olemast aktsepteeritud.