Kasutage olemasolevat ettevõtte CA-d OpenVPN-i partnerite jaoks

Miski OpenVPN:s ei nõua, et sertifikaat pärineks Easy-RSA-st, ja pargil, millel on juba organisatsiooni PKI, ei peaks tavaliselt teist üles ehitama. Tegelik töö ei ole tööriista valimine, vaid otsustamine, mida väljastatud identiteedid tähendavad, milliseid partnereid tunnel aktsepteerib ning kuidas uuendamine ja tühistamine jõuavad kontrollijani. Käige allolevad viis sammu järjest läbi, sest hilisem samm ei saa parandada esimeses tehtud rolliotsust.

Väljastage kaks rolli ühe jagatud identiteedi asemel

Iga partner vajab oma sertifikaati ja vastavat privaatvõtit. Paluge PKI meeskonnal väljastada serveri identiteet serverikasutusega ja eraldi kliendiidentiteedid kliendikasutusega, et tunnel saaks käepigistuse ajal neid kahte eristada.

Vastu pidage lühiühendustele, mis tähtaegade surve all tekivad. Veebiserveri võtme kopeerimine sülearvutitesse kustutab erinevuse, millest rollikontroll sõltub, ja VPN-i lõpp-punkti paigaldatud CA allkirjavõti muudab ühe kompromiteeritud hosti kompromiteeritud hierarhiaks. PKCS12-pakett võib kanda lõpp-punkti võtit ja selle ahelat, kuid ei anna kunagi luba seda identiteeti teises rollis uuesti kasutada.

Ühendage usalduse sisendid mõlemal pool

Klient ja server vajavad kumbki usaldusankrut, oma identiteeti ja selget rolliootust. Kliendi fragment, mis loetleb kõik kolm, näeb välja selline.

client
ca /etc/openvpn/pki/issuing-root.pem
cert /etc/openvpn/pki/device-17.crt
key /etc/openvpn/pki/device-17.key
remote-cert-tls server
verify-x509-name vpn.corp.example name
crl-verify /etc/openvpn/pki/issuing.crl

Serveripool peegeldab seda remote-cert-tls client ja oma sertifikaadiga, ja just see takistab kliendisertifikaadi aktsepteerimist serverina. Nimekontroll on rollikontrollist eraldi otsus. Lugege juurutatud konfiguratsiooni, et näha, millist välja võrreldakse, selle asemel et eeldada brauserilaadset hostinime vastet. Mõlemad pooled peaksid ka selgelt ütlema, millist väljaandjat nad usaldavad, sest parki läbiv ühine failitee ei ole sama asi kui ühine poliitika.

Edastage vahesertifikaadid usaldust laiendamata

Kaks poolt ei pea jagama üht väljastusahelat. Kui partner esitab vahesertifikaadiga allkirjastatud sertifikaadi, vajab kontrolliv pool seda vahesertifikaati kättesaadavana, ja OpenVPN eristab usaldusankru sisendit lisasertifikaatidest, mida kasutatakse kohapeal esitatud ahela lõpuleviimiseks. OpenVPN 2.6 TLS-valikute viide dokumenteerib mõlemat.

Vahe-CA ei ole iseenesest probleem, kuid usalduskimpu visatud lai ettevõtte juur on. Mida laiem on ankur, seda rohkem sertifikaate läbib ahela testi, ja rollikontroll ei muuda seda volitatud töötajate nimekirjaks. Kitsendage ankrut väljaandjani, mis tegelikult VPN-identiteete allkirjastab, kus hierarhia seda lubab. Kui ei luba, dokumenteerige laiem ankur teadlikult aktsepteeritud riskina, selle asemel et jätta see kaudseks.

Leppige PKI meeskonnaga kokku, kuidas uuendamine ja tühistamine jõuavad VPN-i kontrollijateni, sealhulgas millised väljaandjad on olulised ja kes nimekirja avaldab. Sertifikaati põimitud CRL-i jaotuspunkt on juhis, mitte tõend, et keegi selle hankis.

Otsustage, kuidas tühistamine tegelikult kohale jõuab

crl-verify paneb kontrollija konsulteerima faili või lõpp-punktiga, ja see kord vajab omanikku ja värskendusteet. Üks kord juurutamise ajal kopeeritud nimekiri lakkab vaikselt teid kaitsmast esimesel sertifikaadi tühistamisel.

Kirjutage üles eeldatav levimisaeg ja testige seda sertifikaadiga, mille olete valmis tühistama. Kui nimekirja ei saa VPN-i hostis värskendada, on alternatiiviks lühem kehtivusaeg pluss uuendusprotsess, mis tegelikult töötab, mitte eeldus, et tühistamine töötab, sest URL on olemas.

Tõestage aktsepteerimist tõelise kliendiga

Ühendage klient, mida peaks lubatama, ja kinnitage logis läbiräägitud sertifikaadi andmed. Seejärel proovige juhtumeid, mis peavad läbi kukkuma: serverina esitatud kliendisertifikaat, usaldusankrust väljaspool oleva väljaandja sertifikaat ja tühistatud sertifikaat, kui teil on üks üle.

Registreerige aktsepteeritud väljaandja, rollikontroll ja tühistamise allikas profiili kõrval. See kirje on see, mida järgmine insener vajab, kui eelmisel kuul töötanud seade lakkab ühendumast, ja see on ka tõend, et ettevõtte CA-d kasutatakse dokumenteeritud aktsepteerimispiiri sees, mitte üldotstarbelise usaldusprügina.