Easy-RSA behar al duzu OpenVPN-rako? CAaren jabea nor den araberakoa da

Tutorial batek dio Easy-RSA instalatu behar dela OpenVPN konfiguratu aurretik, eta jendeak uste du biak batera doazela. Ez doaz. Easy-RSA OpenSSL gidatzen duen PKI kudeaketa-tresna bat da; OpenVPN tunela da. Batek erabakitzen du norengan fidatu, besteak paketeak mugitzen ditu.

Garrantzitsua den alderaketa ez da zein tresna hobea den. Baizik eta zure erakundean jaulkitzailea nork duen.

Zer da Easy-RSA benetan

Proiektuak bere burua X.509 PKI kudeaketa-tresna gisa deskribatzen du, lan kriptografikoa OpenSSLek egiten duelarik. Horrek esan nahi du gakoen sorrera, ziurtagiri-eskaerak, sinatze-politika eta errebokazioa errepikagarria den direktorio-egitura batean biltzen dituela. Ez dio tunel finkatu bati zifratze-geruzarik gehitzen, eta ez du RSA indartsuago egiten beste tresna gaitutako batek sortutako gako berdina baino. Egiten duena lan-fluxua auditagarria egitea da.

Hori benetako abantaila da, baina eragiketa-abantaila da, ez kriptografikoa.

Jarraitu ordenagailu eramangarri bat matrikulazioan zehar

Ordenagailu eramangarri berriak bere gakoa sortu eta ziurtagiri-eskaera bidaltzen du, beraz gako pribatuak ez du inoiz gailua uzten. Jaulkitzaileak eskaera hori sinatzen du bezero-rol baterako luzapen egokiak hautatzen dituen mota batekin. Easy-RSA-n hau da ./easyrsa sign-req client laptop-a.

Operadoreak oraindik erabaki behar du pertsona honek sarbidea merezi duela. Sinatze-tresnek ez dute eskubiderik ondorioztatzen izen arrunt batetik.

Sinatutako ziurtagiria hona itzultzen da: gakoa duen gailura, eta VPN inplementazioak bereizten ditu zerbitzariaren konfiantza, identitate-egiaztapenak, sare-politika eta kontu-baldintzak. Jaulkitzailearen irteera-direktorioko fitxategi batek ez du horietako ezer frogatzen. Esku-ukaldi oso batek soilik egiten du.

Jarraitu ordenagailu bera irtetean

Kentzea da jaulkitzailearen hautua benetan nabarmentzen den tokia. Lan-fluxu erabilgarri batek ziurtagiria identifikatzen du, errebokazioa erregistratzen du eta harekin fidatzen diren sistemek hura baztertzeko behar dutena sortzen du. Easy-RSA-k bereizten ditu ./easyrsa revoke laptop-a eta ./easyrsa gen-crl, eta bigarren pausua jendeak ahazten duena da. Jaulkitzailean CRL bat sortzeak ez dio VPN egiaztatzaile bakar bati ere bidaltzen.

Banaketa, birkargatze-jokabidea eta jada ezarritako sesioekin gertatzen dena inplementazio-erabakiak dira, ez tresnaren ezaugarriak.

Hutsune hori da lan-fluxu finkatuaren aldeko argudio praktikoa, ad hoc openssl komandoen pila baten aurka. Jaulkitzaile bat martxan jartzearen zati zaila ez da lehen ziurtagiria. Jaulkipen-erregistroak, babes-kopiak, berritzeak eta kentzeak koherente mantentzea da, gailuak etorri eta joan ahala.

Jaulkitzaile bat dagoenean jada

Zure erakundeak ziurtagiri-zerbitzu onartu bat badu jada, hortik matrikulatu. Bigarren CA bat altxatzeak, tutorial batek Easy-RSA komandoak zituelako, konfiantza banatzeko lana, babes-kopien lana eta behar bezala errebokatu beharreko bigarren gauza bat sortzen ditu.

Jaulkitzaile lokal bat CA bat ustiatzeko konpromisoa da, ez konfigurazio-gida bateko kontrol-laukia.

Noiz da Easy-RSA erabaki zuzena

Benetan bere jaulkitzailea behar duen inplementazio pribatu txiki baterako, Easy-RSA-k lan-fluxu zentratua ematen du eragiketa bakoitza eskuz muntatu beharrik gabe. jatorrizko Easy-RSA gida eskaera, sinatze, errebokazio eta CRL urratsak ordenan biltzen ditu. Eutsi CAren sinatze-materiala haren jabe izendatuari; bezeroek beren kredentzialak eta dagokien konfiantza publikoa behar dituzte, inoiz ez sinatze-gakoaren kopia bat.

PINean oinarritutako OpenVPN diseinua konfiantza-antolamendu zilegi bat da, ez konpontzeko zain dagoen PKI hautsia. Eta kontuaren saio-hasierak ez du kentzen zerbitzaria hautatutako protokoloaren arabera autentifikatzeko beharra.

Erantzun lau galderari hautatu aurretik: nork onartzen du identitate berri bat, non bizi da haren gako pribatua, nola iristen da ziurtagiria bezerora eta nola uzten dio erretiratutako identitate batek onartua izateari.