Faut-il Easy-RSA pour OpenVPN ? Cela dépend de qui possède l’AC

Un tutoriel dit d’installer Easy-RSA avant de configurer OpenVPN, alors les gens supposent que les deux forment un ensemble. Ce n’est pas le cas. Easy-RSA est un utilitaire de gestion d’ICP qui pilote OpenSSL ; OpenVPN est le tunnel. L’un décide à qui faire confiance, l’autre déplace les paquets.

La comparaison qui compte n’est pas de savoir quel outil est meilleur. C’est de savoir lequel possède l’émetteur dans votre organisation.

Ce qu’est réellement Easy-RSA

Le projet se décrit comme un utilitaire de gestion d’ICP X.509, OpenSSL effectuant le travail cryptographique. Cela signifie qu’il enveloppe la génération de clés, les demandes de certificat, la politique de signature et la révocation dans une arborescence reproductible. Il n’ajoute pas de couche de chiffrement à un tunnel déjà établi et ne rend pas RSA plus fort que la même clé produite par un autre outil compétent. Ce qu’il fait, c’est rendre le flux de travail auditable.

C’est un avantage réel, mais opérationnel plutôt que cryptographique.

Suivez un ordinateur portable pendant l’enrôlement

Un nouvel ordinateur portable génère sa propre clé et soumet une demande de certificat, de sorte que la clé privée ne quitte jamais l’appareil. L’émetteur signe ensuite cette demande avec un type qui sélectionne les bonnes extensions pour un rôle de client. Dans Easy-RSA, c’est ./easyrsa sign-req client laptop-a.

L’opérateur doit encore décider que cette personne mérite l’accès. Aucun outil de signature ne déduit un droit d’un nom commun.

Le certificat signé revient sur l’appareil qui détient la clé correspondante, et le déploiement du VPN fournit séparément la confiance du serveur, les contrôles d’identité, la politique réseau et les exigences de compte. Un fichier dans le répertoire de sortie de l’émetteur ne prouve rien de tout cela. Seule une poignée de main achevée le fait.

Suivez le même ordinateur portable à la sortie

C’est au retrait que le choix de l’émetteur se voit vraiment. Un flux de travail utilisable identifie le certificat, enregistre la révocation et produit ce dont les systèmes dépendants ont besoin pour le rejeter. Easy-RSA sépare ./easyrsa revoke laptop-a de ./easyrsa gen-crl, et la seconde étape est celle que les gens oublient. Générer une CRL sur l’émetteur ne la livre à aucun vérificateur de VPN.

La distribution, le comportement au rechargement et ce qui arrive aux sessions déjà établies sont des décisions de déploiement, pas des fonctionnalités d’outil.

Cet écart est l’argument pratique en faveur d’un flux de travail établi face à un tas de commandes openssl ad hoc. La partie difficile de l’exploitation d’un émetteur n’est pas le premier certificat. C’est de garder cohérents les registres d’émission, les sauvegardes, les renouvellements et les retraits à mesure que les appareils vont et viennent.

Quand un émetteur existe déjà

Si votre organisation exploite déjà un service de certificats approuvé, inscrivez-vous par son intermédiaire. Monter une seconde AC parce qu’un tutoriel incluait des commandes Easy-RSA crée du travail de distribution de confiance, du travail de sauvegarde et une seconde chose à révoquer correctement.

Un émetteur local est un engagement à exploiter une AC, pas une case à cocher dans un guide d’installation.

Quand Easy-RSA est le bon choix

Pour un petit déploiement privé qui a vraiment besoin de son propre émetteur, Easy-RSA offre un flux de travail ciblé sans assembler chaque opération à la main. Le guide Easy-RSA d’origine couvre les étapes de demande, de signature, de révocation et de CRL dans l’ordre. Gardez le matériel de signature de l’AC chez son propriétaire désigné ; les clients ont besoin de leurs propres identifiants et de la confiance publique pertinente, jamais d’une copie de la clé de signature.

Une conception OpenVPN basée sur un PIN est un autre arrangement de confiance légitime, pas une ICP cassée en attente de réparation. Et la connexion au compte ne supprime pas le besoin d’authentifier le serveur selon le protocole que vous avez choisi.

Répondez à quatre questions avant de choisir : qui approuve une nouvelle identité, où vit sa clé privée, comment le certificat atteint le client et comment une identité retirée cesse d’être acceptée.