Ajouter un client VPN sans reconstruire la CA

Il vous faut un certificat de plus pour un portable de plus, mais le premier tutoriel des résultats commence par une commande qui efface le répertoire PKI. Cette commande relève de la première installation, pas de l enrôlement, et l exécuter vous coûte la CA, l historique d émission et tous les profils clients qui faisaient confiance à l ancien émetteur. La décision est plus étroite: votre émetteur a-t-il encore un état utilisable, et le nouvel appareil entre-t-il dans votre politique d enrôlement? Trois conditions en décident, une seule justifie une reconstruction.

Ce qu une reconstruction détruit vraiment

Réinitialiser une PKI remplace le répertoire par une structure vide: nouvelle clé et nouveau certificat de CA, base d émission vide, compteur de numéros de série neuf. Les clients ne suivent pas en silence; leurs profils épinglent l ancienne CA, donc chaque appareil doit se réenrôler, et les appareils injoignables à la main.

La perte la plus discrète est la comptabilité. La révocation suppose de savoir quels numéros de série vous avez émis et à qui. Effacez l index et vous pouvez encore signer, mais plus affirmer avec assurance lesquels des certificats en circulation vous vouliez révoquer. Un répertoire de CA avec des certificats sans l état d émetteur correspondant restaure la mauvaise moitié du système.

Copier la clé privée de la CA à côté du serveur en marche est l autre raccourci à refuser: cela transforme une autorité de signature qui doit rester hors ligne en un fichier de plus sur un hôte qui termine du trafic non fiable.

Première condition: l état de l émetteur est-il encore accessible?

Localisez le répertoire auquel le serveur fait réellement confiance avant de décider. Comparez le certificat que le serveur présente comme CA avec celui du répertoire PKI par empreinte, pas par nom de fichier:

openssl x509 -in ca.crt -noout -fingerprint -sha256
openssl x509 -in /etc/openvpn/ca.crt -noout -fingerprint -sha256

Si les empreintes correspondent, l enrôlement est incrémental et vous ne devez rien reconstruire. Si elles diffèrent, vous allez signer avec une CA à laquelle le serveur ne fait pas confiance: le certificat s installe proprement et échoue à la poignée de main, et cette erreur est diagnostiquée pendant des heures comme un défaut du client.

Cherchez ensuite l état d émission: le fichier d index, le compteur de série et le fichier du numéro de CRL. Si l index a disparu mais que la clé survit, vous pouvez émettre, mais vous héritez d un problème d enregistrement des révocations. Notez-le dans le journal des changements, car la prochaine révocation le révélera.

Deuxième condition: qui détient la nouvelle clé privée?

C est la décision que les utilisateurs ressentent, prenez-la explicitement. Une clé générée sur le client et soumise comme requête garde la moitié privée sur l appareil dès la première commande, et l administrateur n y touche jamais. Une clé générée sur le serveur est plus simple pour les appareils sans outillage, mais fait de l administrateur le gardien de chaque clé et élargit l impact d une compromission du serveur.

Avec Easy-RSA 3 contre une CA existante, importer et signer une requête tient en deux commandes:

./easyrsa import-req /tmp/alice.req alice
./easyrsa sign-req client alice

Choisissez le type de certificat délibérément. Une requête signée comme certificat serveur au lieu de client produit un fichier qui paraît correct et que le pair refuse, et le message d erreur dit rarement pourquoi. Avec openssl ca, le même choix vit dans les extensions que vous passez, pas dans la section par défaut.

Troisième condition: le serveur a-t-il besoin de plus qu un certificat?

Pour un serveur OpenVPN ordinaire avec authentification par certificat, le certificat est l enrôlement: le nom commun devient l identité du client, et tout répertoire, route poussée ou adresse statique dépend de ce nom. Ajoutez le certificat et oubliez la configuration, le tunnel se connecte mais les routes nécessaires n apparaissent jamais.

Les plateformes changent la donne. OpenVPN Access Server tient sa propre base d utilisateurs, un certificat signé n est donc pas un compte; le compte doit exister et être autorisé. D autres passerelles associent une chaîne d identité à un groupe. Enrôler un appareil touche généralement deux systèmes, et le certificat n est que le premier.

La procédure incrémentale et le cas de la reconstruction

La séquence qui ajoute un appareil sans dégâts: confirmez l émetteur par empreinte, prenez une copie fraîche du répertoire PKI, importez et signez la requête pour le rôle client, livrez le certificat avec sa chaîne par le canal approuvé, puis vérifiez avant que l utilisateur se connecte:

openssl verify -CAfile ca.crt alice.crt
openssl x509 -in alice.crt -noout -subject -issuer -dates -purpose

La ligne de purpose doit afficher SSL client. Terminez en mettant à jour la copie de la CA après l émission, car une copie prise avant le nouveau numéro de série restaure un état sans l appareil que vous venez d ajouter.

La reconstruction est justifiée dans trois cas: la clé de la CA est compromise, l état d émission est irrémédiablement perdu, ou vous changez délibérément l algorithme de clé ou la politique de certificats. Les trois sont des projets avec un plan de réenrôlement pour chaque client, pas des étapes d une demande pour un appareil. Si aucun ne s applique, enrôlez de façon incrémentale.