Hast du Easy-RSA nedich foar OpenVPN? It hinget derfan ôf wa’t de CA besit

In hânlieding seit dat jo Easy-RSA ynstallearje moatte foardat jo OpenVPN ynstelle, dat minsken nimme oan dat de beide byinoar hearre. Dat is net sa. Easy-RSA is in PKI-behearark dat OpenSSL oanstjoert; OpenVPN is de tunnel. De iene beslút wa’t fertroud wurde moat, de oare ferpleatst pakketten.

De ferliking dy’t fan belang is, is net hokker ark better is. It is wa’t de útjouwer yn jo organisaasje besit.

Wat Easy-RSA eins is

It projekt beskriuwt himsels as in PKI-behearark foar X.509, wêrby’t OpenSSL it kryptografyske wurk docht. Dat betsjut dat it kaai-oanmeitsjen, sertifikaatoanfragen, ûndertekenbelied en yntrekken yn in werhellbere mappe-opset ynpakt. It foeget gjin fersiferinglaach ta oan in fêstige tunnel, en it makket RSA net sterker as deselde kaai dy’t troch in oar bekwaam ark makke is. Wat it docht, is it wurkstream kontrolearber meitsje.

Dat is in echt foardiel, mar in operasjoneel foardiel en net in kryptografysk.

Folgje ien laptop troch de registraasje

In nije laptop makket syn eigen kaai en tsjinnet in sertifikaatoanfraach yn, dus de priveekaai ferlit nea it apparaat. De útjouwer ûndertekent dy oanfraach dan mei in type dat de goede útwreidings foar in kliïntrol kiest. Yn Easy-RSA is dat ./easyrsa sign-req client laptop-a.

De operator moat noch altyd beslute dat dizze persoan tagong fertsjinnet. Gjin ûndertekenark liedt rjocht ôf út in gewoane namme.

It ûndertekene sertifikaat giet werom nei it apparaat dat de byhearrende kaai hat, en de VPN-ymplemintaasje leveret apart servertrouwen, identiteitskontrôles, netwurkbelied en akkounteasken. In bestân yn ’e útfierrige fan ’e útjouwer bewiist dêr neat fan. Allinnich in foltôge hânskodding docht dat.

Folgje deselde laptop nei bûten

It fuortheljen is wêr’t de kar fan útjouwer echt te sjen is. In brûkbere wurkstream identifisearret it sertifikaat, registrearret it yntrekken en produsearret wat fertrouwende systemen nedich hawwe om it te wegerjen. Easy-RSA skiedt ./easyrsa revoke laptop-a fan ./easyrsa gen-crl, en de twadde stap is dejinge dy’t minsken ferjitte. In CRL meitsje by de útjouwer leveret it oan gjin inkelde VPN-kontroleur.

Fersprieding, werladen gedrach en wat der bart mei sesjes dy’t al fêstige binne, binne ymplemintaasjebesluten, gjin arkfunksjes.

Dy kleau is it praktyske argumint foar in fêstige wurkstream boppe in heap ad-hoc openssl-opdrachten. It dreechste diel fan it draaien fan in útjouwer is net it earste sertifikaat. It is it gearhingjend hâlden fan útjefterekords, backups, fernijingen en fuortheljen wylst apparaten komme en gean.

Wannear’t der al in útjouwer is

As jo organisaasje al in goedkarde sertifikaartsjinst draait, registrearje dan fia dy. In twadde CA oprjochtsje om’t in hânlieding Easy-RSA-opdrachten befette, makket wurk foar fertrouwensfersprieding, wurk foar backups en in twadde ding dat goed yntrokken wurde moat.

In lokale útjouwer is in ferplichting om in CA te draaien, gjin kontrôlefakje yn in ynstelgids.

Wannear’t Easy-RSA de juste kar is

Foar in lytse privee-ymplemintaasje dy’t echt syn eigen útjouwer nedich hat, jout Easy-RSA in rjochte wurkstream sûnder elke operaasje mei de hân gear te setten. De origenele Easy-RSA-gids behannelt de stappen oanfraach, ûndertekenje, yntrekke en CRL yn folchoarder. Hâld it CA-ûndertekenmateriaal by syn oanwiisde eigner; kliïnten hawwe har eigen bewizen en it relevante iepenbiere fertrouwen nedich, nea in kopy fan ’e ûndertekenkaai.

In PIN-basearre OpenVPN-ûntwerp is in oare legitime fertrouwensregeling, gjin brutsen PKI dy’t op reparaasje wachtet. En akkountoanmelding ferwideret de need net om de server te autentisearjen ûnder hokker protokol jo ek keazen hawwe.

Beäntwurdzje fjouwer fragen foardat jo kieze: wa’t in nije identiteit goedkart, wêr’t de priveekaai wennet, hoe’t it sertifikaat by de kliïnt komt, en hoe’t in ôftrede identiteit ophâldt akseptearre te wurden.