Eduki OpenVPN CA sinadura-gakoa /etc/openvpn-tik kanpo

Tutorial batean antzekoak diruditen bi direktoriok erabat desberdinak diren lanak egiten dituzte. Batek ziurtagiri-agintaritza gordetzen du: haren gako pribatua, serie-zenbakien kontagailua eta sinatu duen guztiaren erregistroa. Besteak daemonak abiatzeko eta bezeroei zerbitzua emateko behar duena gordetzen du. Biak host berean kontu beraren pean jartzea eroso da arratsalde baterako eta garestia hedapenaren bizitza osoan, daemona orduan nahi duen edozein identitate sortu dezakeen gako bakarraren ondoan exekutatzen baita.

Zer dauka CA lan-espazioak

PKI direktorio bat igorlearen egoera da, ez konfigurazioa. CAren gako pribatua eta ziurtagiria, serie-zenbakien fitxategia, igorritako ziurtagirien indizea eta horietatik sortutako identitate bakoitzeko materiala dauzka.

Eskaera bat sinatzeak egoera hori aldatzen du, eta horregatik lan-espazioa administratzaileak kontrolatutako kontu batekoa da, VPN zerbitzua exekutatzen ez den host batean. CAren gako pribatua irakur dezakeen edonork zerbitzariak fidatuko duen ziurtagiri bat igor dezake, beraz gakoaren babesa fitxategi bakarreko konfiantza-eredu osoa da. Bigarren leku batera kopiatzeak, urrats bat aurreztearren, babesteko bigarren gauza eta ahazteko bigarren gauza sortzen ditu. Sinadura bakoitzak serie-zenbakia handitzen du eta indizeari sarrera bat eransten dio, eta horregatik lan-espazioa egoeraren kopia bat da, ez fitxategien karpeta bat.

CAren ziurtagiri publikoa desberdina da. Banatzeko pentsatuta dago, eta bezeroek eta zerbitzariek elkar egiaztatzeko erabiltzen dute.

Zer irakurtzen du daemonak abiaraztean

Martxan dagoen zerbitzari batek multzo txiki bat kontsumitzen du: bere ziurtagiria, bere gako pribatua, parekideak egiaztatzeko CA ziurtagiria eta hautatutako moduak eskatzen duen gako-materiala. Bide horiek abiaraztean irakurtzen ditu eta berriz birkargatzean.

Jabetza benetan abiatzen den unitatearen arabera ebaluatu behar da, ez root shell interaktibo baten arabera. Adierazitako sandboxing-ak fitxategi-sistemaren zati bat irakurtzeko soilik edo ikusezin bihur dezake, root gisa egindako proba manuala arrakastatsua izan arren.

systemctl show -p User -p Group -p ReadOnlyPaths [email protected]
stat -c '%a %U:%G' /etc/openvpn/server/server.key
runuser -u openvpn -- test -r /etc/openvpn/server/server.key; echo $?

Hirugarren lerro hori da jendeak saltatzen duena. Daemonaren kontuari galdetzen dio gakoa irakur dezakeen, eta hori da pribilegioak utzi ondoren garrantzitsua den galderaren bertsio bakarra. Root gisa zeroz irteteak ez du ezer esaten uztearen ondoren gertatzen denari buruz.

Bi hutsegite-bideak bereizi behar dira edozein baimen aldatu aurretik. Sinadura-hutsegite batek PKI direktorioari, haren guraso-direktorioetako bilaketa-baimenari eta igorlea exekutatzen duen kontuari seinalatzen die. Abiarazte-hutsegite batek unitateari, haren lan-direktorioari eta zerbitzariaren konfigurazioan izendatutako bideei seinalatzen die. Zuhaitz osoa guztientzat irakurgarri egiteak ez du bat ere konpontzen, eta biek dependatzen duten muga kentzen du.

Zergatik huts egiten duen geroago CA gakoa zerbitzarira kopiatzeak

Kopia arazketa-mugimendu gisa hasten da normalean: norbaitek bezero bat berritu nahi du VPN hostean, eta CA gakoa /etc/openvpn karpetan geratzen da, eta berritzeak funtzionatzen du. Berehalako zeregina arrakastatsua da, eta muga desagertu da.

Gero zerbitzariaren segurtasun-kopia egiten da, eta sinadura-agintaritza babeskopietara gehitzen da. Snapshot batek, laguntza-sorta batek edo konfigurazio-direktorioaren kopiak konfiantzazko identitateak igortzeko gaitasuna darama orain, CA baliozkoa den bitartean. Kopia hori duenak zerbitzariak onartzen duen edozein izenetarako ziurtagiri bat sortu dezake, inoiz igorri ez ziren izenak barne. Igorpen horren erregistro bakarra gorde nahi duten hori da.

Egoera horretatik berreskuratzea ez da fitxategi bat ezabatzea. Erabaki behar duzu gakoa agerian geratu zen, CA biratu behar den hala bada, eta konfiantza parekide bakoitzari birbanatu. Lan-espazio bereizi batek elkarrizketa osoa saihesten du.

Kontuak, direktorioak, babeskopiak

Eman igorleari bere kontua eta etxe-direktorioa, VPN hostetik kanpo ahal denean. Eman daemonari beste kontu bat, hedaturiko materiala irakurtzeko sarbidearekin eta ziurtagiriak igortzen duen ezer idazteko sarbiderik gabe. Hedatu ziurtagiri publikoak kanpora kopiatuz eta inoiz igorlearen egoera pribatua barrurantz erakarri gabe. Egin bi rolen babeskopia bereizita, haien sentikortasunak eta berreskuratze-istorioak desberdinak baitira.

Errebokazio baten ondoren, eguneratu zerbitzariaren konfigurazioak izendatzen duen CRL fitxategia, eta gero birkargatu zerbitzua konexio berriek irakur dezaten. Easy-RSA dokumentazioa dokumentuak lan-espazioaren egitura eta sinadura-fluxua lantzen ditu; haren inguruko jabetza-arauak zure hostari buruzko erabakia izaten jarraitzen dute. Egiaztatu zerbitzuak zer kargatu duen openssl crl -in /etc/openvpn/crl.pem -noout -lastupdate -nextupdate erabiliz, birkargatzeak jaso zuen suposatu beharrean.

Bereizketa frogatzen duen proba

Egiaztatu kasu negatiboa, ez soilik funtzionatzen duena. Sinatu ziurtagiri bat igorlearen kontutik diseinatu bezala, eta gero egiaztatu kontu berak ezin duela zerbitzua abiarazi ez zerbitzariaren gako pribatua irakurri. Gero egiaztatu daemonaren kontuak ezin duela CAren gako pribatua irakurri.

Hiru egiaztapen horiek minutu batzuk behar dituzte eta langile-aldaketak gainditzen dituzte, baimenei buruzko adierazpenak baitira, ez ohiturei buruzkoak. Idatzi emaitza estali zituen bide eta kontuekin, eta exekutatu zenituen datarekin. Hedapen hau oinordetzan hartzen duen hurrengo pertsonak, bestela, inoiz mugarik izan ez zuen tutorial batetik aterako du berriro muga. Data duen erregistroa da, halaber, hurrengo berrikuspenak arratsalde bat beharrean minutu batzuk iraun ditzan.