آیا برای OpenVPN به Easy-RSA نیاز دارید؟ بستگی دارد به اینکه CA از آنِ کیست

یک آموزش می‌گوید پیش از راه‌اندازی OpenVPN باید Easy-RSA نصب کنید، پس مردم فکر می‌کنند این دو یک بسته‌اند. این‌طور نیست. Easy-RSA ابزاری برای مدیریت PKI است که OpenSSL را به کار می‌گیرد؛ OpenVPN تونل است. یکی تصمیم می‌گیرد به چه کسی اعتماد شود، دیگری بسته‌ها را جابه‌جا می‌کند.

مقایسه‌ای که مهم است این نیست که کدام ابزار بهتر است. بلکه این است که کدام‌یک در سازمان شما مالک صادرکننده است.

Easy-RSA در واقع چیست

پروژه خود را ابزاری برای مدیریت PKI از نوع X.509 معرفی می‌کند که OpenSSL کار رمزنگاری را انجام می‌دهد. یعنی تولید کلید، درخواست گواهی، سیاست امضا و ابطال را در ساختار پوشه‌ای تکرارپذیر بسته‌بندی می‌کند. لایه رمزنگاری به تونلی که از پیش برپاست اضافه نمی‌کند و RSA را قوی‌تر از همان کلیدی نمی‌کند که ابزار توانمند دیگری ساخته است. کاری که می‌کند این است که گردش‌کار را قابل حسابرسی می‌کند.

این مزیت واقعی است، اما مزیتی عملیاتی است نه رمزنگاری.

یک لپ‌تاپ را در مسیر ثبت‌نام دنبال کنید

لپ‌تاپ جدید کلید خودش را تولید می‌کند و درخواست گواهی می‌فرستد، بنابراین کلید خصوصی هرگز از دستگاه خارج نمی‌شود. سپس صادرکننده آن درخواست را با نوعی امضا می‌کند که افزونه‌های درست برای نقش کارخواه را انتخاب می‌کند. در Easy-RSA این کار با دستور ./easyrsa sign-req client laptop-a.

بهره‌بردار هنوز باید تصمیم بگیرد که این شخص سزاوار دسترسی است. هیچ ابزار امضایی از یک نام رایج حق دسترسی استنتاج نمی‌کند.

گواهی امضاشده بازمی‌گردد به دستگاهی که کلید منطبق را دارد، و استقرار VPN به‌طور جداگانه اعتماد سرور، بررسی هویت، سیاست شبکه و الزامات حساب را فراهم می‌کند. یک فایل در پوشه خروجی صادرکننده هیچ‌یک از اینها را ثابت نمی‌کند. فقط یک دست‌دادن کامل این کار را می‌کند.

همان لپ‌تاپ را در مسیر خروج دنبال کنید

حذف جایی است که انتخاب صادرکننده واقعاً خودنمایی می‌کند. گردش‌کار قابل استفاده گواهی را شناسایی می‌کند، ابطال را ثبت می‌کند و آنچه سامانه‌های متکی برای رد کردنش لازم دارند تولید می‌کند. Easy-RSA جدا می‌کند ./easyrsa revoke laptop-a را از ./easyrsa gen-crl، و گام دوم همان است که مردم فراموش می‌کنند. ساختن CRL روی صادرکننده آن را به هیچ بررسی‌کننده VPN نمی‌رساند.

توزیع، رفتار بارگذاری دوباره و آنچه بر نشست‌های از پیش برقرار می‌آید تصمیم‌های استقرارند، نه ویژگی‌های ابزار.

این شکاف همان استدلال عملی به سود یک گردش‌کار تثبیت‌شده در برابر انبوهی از فرمان‌های openssl موردی است. بخش دشوار اداره صادرکننده نخستین گواهی نیست. نگه‌داشتن هم‌بستگی سوابق صدور، پشتیبان‌ها، تمدیدها و حذف‌ها در حالی است که دستگاه‌ها می‌آیند و می‌روند.

وقتی صادرکننده از پیش وجود دارد

اگر سازمان شما از پیش سرویس گواهی تأییدشده‌ای را اداره می‌کند، از همان راه ثبت‌نام کنید. برپا کردن CA دوم چون آموزشی فرمان‌های Easy-RSA داشته است، کار توزیع اعتماد، کار پشتیبان‌گیری و چیز دومی می‌سازد که باید درست ابطال شود.

صادرکننده محلی تعهدی به اداره یک CA است، نه یک کادر تیک در راهنمای راه‌اندازی.

چه وقت Easy-RSA انتخاب درست است

برای استقرار خصوصی کوچکی که واقعاً به صادرکننده خودش نیاز دارد، Easy-RSA گردش‌کاری متمرکز می‌دهد بدون آنکه هر عملیات را دستی سرهم کنید. راهنمای اصلی Easy-RSA گام‌های درخواست، امضا، ابطال و CRL را به ترتیب پوشش می‌دهد. مواد امضای CA را نزد مالک تعیین‌شده‌اش نگه دارید؛ کارخواهان به اعتبارنامه خودشان و اعتماد عمومی مربوط نیاز دارند، هرگز به نسخه‌ای از کلید امضا.

طراحی OpenVPN مبتنی بر PIN ترتیب اعتماد مشروع دیگری است، نه یک PKI خراب که منتظر تعمیر باشد. و ورود به حساب نیاز به احراز هویت سرور را تحت هر پروتکلی که برگزیده‌اید از میان برنمی‌دارد.

پیش از انتخاب به چهار پرسش پاسخ دهید: چه کسی هویت جدید را تأیید می‌کند، کلید خصوصی‌اش کجا زندگی می‌کند، گواهی چگونه به کارخواه می‌رسد، و هویت بازنشسته چگونه دیگر پذیرفته نمی‌شود.