Käytä olemassa olevaa yrityksen CA:ta OpenVPN-vertaisille

Mikään OpenVPN:ssä ei edellytä, että varmenne tulee Easy-RSA:sta, ja parkki, jolla on jo organisaation PKI, ei yleensä pitäisi rakentaa toista. Todellinen työ ei ole työkalun valinta vaan päättäminen siitä, mitä myönnetyt identiteetit tarkoittavat, mitkä vertaiset tunneli hyväksyy ja miten uusiminen ja mitätöinti saapuvat vahvistajalle. Käy alla olevat viisi vaihetta järjestyksessä läpi, koska myöhempi vaihe ei voi korjata ensimmäisessä tehtyä roolipäätöstä.

Myönnä kaksi roolia yhden jaetun identiteetin sijaan

Jokainen vertainen tarvitsee oman varmenteensa ja vastaavan yksityisen avaimensa. Pyydä PKI-tiimiä myöntämään palvelinidentiteetti palvelinkäytöllä ja erilliset asiakasidentiteetit asiakaskäytöllä, jotta tunneli voi erottaa ne kättelyn aikana.

Vastusta oikopolkuja, joita ilmaantuu määräaikapaineen alla. Verkkopalvelimen avaimen kopioiminen kannettaviin pyyhkii pois eron, johon roolitarkistus nojaa, ja VPN-päätepisteeseen asennettu CA-allekirjoitusavain muuttaa yhden vaarantuneen isännän vaarantuneeksi hierarkiaksi. PKCS12-paketti voi kantaa päätepisteen avaimen ja sen ketjun, mutta se ei koskaan anna lupaa käyttää samaa identiteettiä uudelleen toisessa roolissa.

Kytke luottamussyötteet kummallakin puolella

Asiakas ja palvelin tarvitsevat kumpikin luottamusankkurin, oman identiteettinsä ja eksplisiittisen rooliodotuksen. Asiakasosio, joka ilmoittaa kaikki kolme, näyttää tältä.

client
ca /etc/openvpn/pki/issuing-root.pem
cert /etc/openvpn/pki/device-17.crt
key /etc/openvpn/pki/device-17.key
remote-cert-tls server
verify-x509-name vpn.corp.example name
crl-verify /etc/openvpn/pki/issuing.crl

Palvelinpuoli peilaa sen remote-cert-tls client:llä ja omalla varmenteellaan, ja juuri se estää asiakasvarmenteen hyväksymisen palvelimena. Nimientarkistus on roolitarkistuksesta erillinen päätös. Lue käyttöön otettu kokoonpano nähdäksesi, mitä kenttää verrataan, sen sijaan että olettaisit selaintyylistä isäntänimen vastaavuutta. Molempien puolten tulisi myös kertoa eksplisiittisesti, kehen myöntäjään ne luottavat, koska parkin yhteinen tiedostopolku ei ole sama asia kuin yhteinen käytäntö.

Toimita välivarmenteet luottamusta laajentamatta

Kahden puolen ei tarvitse jakaa yhtä myöntöketjua. Kun vertainen esittää välivarmenteella allekirjoitetun varmenteen, vahvistava puoli tarvitsee kyseisen välivarmenteen saatavilla, ja OpenVPN erottaa luottamusankkurin syötteen lisävarmenteista, joita käytetään paikallisesti esitetyn ketjun täydentämiseen. OpenVPN 2.6:n TLS-asetusviite dokumentoi molemmat.

Väli-CA ei ole sinänsä ongelma, mutta luottamuskimppuun heitetty laaja yritysjuuri on. Mitä leveämpi ankkuri, sitä useampi varmenne läpäisee ketjutestin, eikä roolitarkistus tee siitä valtuutetun henkilöstön luetteloa. Kavenna ankkuri myöntäjään, joka todella allekirjoittaa VPN-identiteetit, kun hierarkia sen sallii. Jos ei salli, dokumentoi leveämpi ankkuri tietoisesti hyväksyttynä riskinä sen sijaan, että jättäisit sen implisiittiseksi.

Sovi PKI-tiimin kanssa, miten uusiminen ja mitätöinti saapuvat VPN-vahvistajille, mukaan lukien mitkä myöntäjät ovat merkityksellisiä ja kuka julkaisee luettelon. Varmenteeseen upotettu CRL-jakelupiste on ohje, ei todiste siitä, että jokin nouti sen.

Päätä, miten mitätöinti todella saapuu

crl-verify saa vahvistajan tarkistamaan tiedoston tai päätepisteen, ja järjestely tarvitsee omistajan ja päivityspolun. Kerran käyttöönoton aikana kopioitu luettelo lakkaa hiljaa suojaamasta sinua, kun varmenne ensimmäisen kerran mitätöidään.

Kirjoita odotettu leviämisaika muistiin ja testaa se varmenteella, jonka olet valmis mitätöimään. Jos luetteloa ei voi päivittää VPN-isännällä, vaihtoehto on lyhyempi voimassaoloaika sekä uusimisprosessi, joka todella toimii, ei oletus siitä, että mitätöinti toimii koska URL on olemassa.

Todista hyväksyntä oikealla asiakkaalla

Yhdistä asiakas, joka pitäisi sallia, ja vahvista neuvotellut varmennetiedot lokista. Kokeile sitten tapauksia, joiden täytyy epäonnistua: palvelimena esitetty asiakasvarmenne, luottamusankkurin ulkopuolisen myöntäjän varmenne ja mitätöity varmenne, jos sinulla on ylimääräinen.

Kirjaa hyväksytty myöntäjä, roolitarkistus ja mitätöinnin lähde profiilin viereen. Se kirjaus on se, mitä seuraava insinööri tarvitsee, kun viime kuussa toiminut laite lakkaa yhdistämästä, ja se on myös todiste siitä, että yrityksen CA:ta käytetään dokumentoidun hyväksyntärajan sisällä eikä yleiskäyttöisenä luottamusvarastona.