Erabili zure enpresako lehendik dagoen CA OpenVPN pareentzat

Ezerk OpenVPN-n ez du eskatzen ziurtagiria Easy-RSA-tik etortzea, eta dagoeneko PKI organizatiboa duen flota batek ez luke bigarren bat eraiki behar, normalean. Benetako lana ez da tresna bat aukeratzea, baizik eta erabakitzea zer esan nahi duten jaulkitako identitateek, tunelek zein pare onartzen dituen eta nola iristen diren berritzea eta errebokatzea egiaztatzailera. Jarraitu beheko bost urratsak ordenean, geroagoko urrats batek ezin baititu lehenengoan hartutako rol-erabakiak konpondu.

Jaulki bi rol identitate partekatu bakarraren ordez

Pare bakoitzak bere ziurtagiria eta dagokion gako pribatua behar ditu. Eskatu PKI taldeari zerbitzari-erabilera duen zerbitzari-identitate bat eta bezero-erabilera duten bezero-identitate bereiziak, tunelek elkarrizketa hasieran biak bereiz ditzan.

Egin aurre epeen presiopean agertzen diren lasterbideei. Web zerbitzari baten gakoa eramangarrietan kopiatzeak rol-egiaztapena oinarritzen den bereizketa ezabatzen du, eta VPN muturrean instalatutako CA sinadura-gakoak ostalari konprometitu bat hierarkia konprometitu bihurtzen du. PKCS12 pakete batek muturreko gakoa eta bere katea eraman ditzake, baina ez du inoiz identitate hori beste rol batean berrerabiltzeko baimenik ematen.

Konektatu konfiantza-sarrerak alde bakoitzean

Bezeroak eta zerbitzariak bakoitzak konfiantza-ankora, bere identitatea eta rol-itxaropen esplizitua behar ditu. Hirurak aipatzen dituen bezero-fragmentu bat horrela ikusten da.

client
ca /etc/openvpn/pki/issuing-root.pem
cert /etc/openvpn/pki/device-17.crt
key /etc/openvpn/pki/device-17.key
remote-cert-tls server
verify-x509-name vpn.corp.example name
crl-verify /etc/openvpn/pki/issuing.crl

Zerbitzariaren aldeak remote-cert-tls client eta bere ziurtagiriarekin islatzen du, eta horrek eragozten du bezero-ziurtagiri bat zerbitzari gisa onartzea. Izenaren egiaztapena rol-egiaztapenaren erabaki bereizia da. Irakurri zabaldutako konfigurazioa zein eremu konparatzen den ikusteko, nabigatzaile-estiloko ostalari-izen bat etortzea suposatu beharrean. Bi aldeek argi adierazi beharko lukete zein jaulkitzailez fidatzen diren, flotan zehar partekatutako fitxategi-bide bat ez baita partekatutako politika bera.

Eman tarteko ziurtagiriak konfiantza zabaldu gabe

Bi aldek ez dute jaulkipen-kate bakarra partekatu behar. Pare batek tarteko batek sinatutako ziurtagiria aurkezten duenean, egiaztatzen duen aldeak tarteko hori erabilgarri behar du, eta OpenVPNek konfiantza-ankor sarrera tokian tokiko aurkeztutako katea osatzeko erabiltzen diren ziurtagiri gehigarrietatik bereizten du. OpenVPN 2.6 TLS aukeren erreferentzia biak dokumentatzen ditu.

Tarteko CA bat ez da berez arazoa, baina konfiantza-sortara botatzen den enpresa-erro zabala bada. Zenbat eta ankor zabalagoa, orduan eta ziurtagiri gehiagok pasatzen dute katearen proba, eta rol-egiaztapenak ez du hori baimendutako langileen zerrenda bihurtzen. Murriztu ankora VPN identitateak benetan sinatzen dituen jaulkitzailean, hierarkiak uzten duen tokian. Ez badu uzten, dokumentatu ankor zabalagoa nahita onartutako arrisku gisa, inplizitu utzi beharrean.

Ados jarri PKI taldearekin berritzeak eta errebokatzeak VPN egiaztatzaileetara nola iristen diren, zein jaulkitzaile garrantzitsuak diren eta nork argitaratzen duen zerrenda barne. Ziurtagiri batean txertatutako CRL banaketa-puntu bat argibidea da, ez dagoeneko norbait eskatu duen froga.

Erabaki nola iristen den errebokatzea benetan

crl-verify egiaztatzailea fitxategi edo muturre batera jotzera behartzen du, eta antolamendu horrek jabe bat eta freskatze-bide bat behar ditu. Hedapenean behin kopiatutako zerrenda isilik uzten dio zu babesteari ziurtagiri bat errebokatzen den lehenengo aldian.

Idatzi espero den hedapen-denbora eta probatu errebokatzeko prest zauden ziurtagiri batekin. Zerrenda VPN ostalarian freskatu ezin bada, alternatiba baliotasun-epe laburragoa gehi benetan exekutatzen den berritze-prozesua da, ez URL bat dagoelako errebokatzeak funtzionatzen duenaren suposizioa.

Frogatu onarpena benetako bezero batekin

Konektatu baimena izan behar duen bezero bat eta egiaztatu negoziatutako ziurtagiriaren xehetasunak erregistroan. Gero probatu huts egin behar duten kasuak: zerbitzari gisa aurkeztutako bezero-ziurtagiria, konfiantza-ankorretik kanpoko jaulkitzaile baten ziurtagiria eta errebokatutako ziurtagiria soberan baduzu.

Erregistratu onartutako jaulkitzailea, rol-egiaztapena eta errebokatze-iturria profileko ondoan. Erregistro hori da hurrengo ingeniariak behar duena joan den hilabetean funtzionatu zuen gailu bat konektatzeari uzten dionean, eta dokumentatutako onarpen-muga baten barruan enpresako CA erabiltzen ari dela ere frogatzen du, helburu orokorreko konfiantza-zabortegi gisa erabili beharrean.