Cliant VPN a chur leis gan an CA a atógáil

Tá teastas amháin eile uait do ríomhaire glúine amháin eile, ach tosaíonn an chéad teagaisc sna torthaí cuardaigh le ordú a scriosann an fillteán PKI. Baineann an t-ordú sin leis an gcéad socrú, ní le clárú, agus cailleann tú an CA, stair na n-eisiúintí agus gach próifíl cliaint a raibh muinín ag an seaneisitheoir acu. Tá an cinneadh níos cúinge: an bhfuil staid inúsáidte fós ag d’eisitheoir, agus an n-oireann an gléas nua do do pholasaí cláraithe? Cinneann trí choinníoll é, agus ní thacaíonn ach ceann amháin le hatógáil.

Cad a scriosann atógáil i ndáiríre

Cuireann atosú PKI struchtúr folamh in ionad an fhillteáin: eochair agus teastas CA nua, bunachar eisiúna folamh, agus áiritheoir sraithe nua. Ní leanann cliaint go ciúin; socraíonn a bpróifílí an seancheann CA, mar sin caithfidh gach gléas clárú arís, agus na cinn nach féidir a rochtain a dhéanamh de láimh.

Is é an caillteanas is ciúine an chuntasaíocht. Bíonn an t-aisghairm ag brath ar eolas faoi cad iad na huimhreacha sraithe a d’eisigh tú agus cé dóibh. Glan an t-innéacs agus is féidir leat síniú fós, ach ní féidir a rá go muiníneach cé acu de na teastais atá amuigh a bhí le haisghairm agat. Is cúltaca é fillteán CA le teastais gan staid eisitheora chomhfhreagrach a athshlánaíonn an leath mícheart den chóras.

Is é cóipeáil eochair phríobháideach an CA in aice leis an bhfreastalaí atá ag rith an gearrtha eile ar chóir duit é a dhiúltú: casann sé údarás sínithe ar chóir a bheith as líne ina chomhad eile ar óstach le trácht neamhiontaofa.

Céad choinníoll: an bhfuil staid an eisitheora inrochtana fós?

Aimsigh an fillteán a bhfuil muinín ag an bhfreastalaí as i ndáiríre sula socraíonn tú. Déan comparáid idir an teastas a chuireann an freastalaí i láthair mar CA agus an ceann i do fhillteán PKI de réir méarloirg, ní de réir ainm comhaid:

openssl x509 -in ca.crt -noout -fingerprint -sha256
openssl x509 -in /etc/openvpn/ca.crt -noout -fingerprint -sha256

Má mheaitseálann na méarloirg, tá an clárú incriminteach agus níor chóir duit aon rud a atógáil. Má dhéanann siad difríocht, beidh tú ag síniú le CA nach bhfuil muinín ag an bhfreastalaí as: suiteáiltear an teastas go glan agus teipeann sé ag an gcroitheadh láimhe, agus déantar an earráid sin a mhí-dhiagnóis mar fhabht cliaint ar feadh uaireanta.

Ansin féach ar staid na heisiúna: an comhad innéacs, an t-áiritheoir sraithe agus an comhad uimhir CRL. Mura bhfuil an t-innéacs ann ach go maireann an eochair, is féidir leat eisiúint, ach faigheann tú fadhb le taifeadadh aisghairme mar oidhreacht. Nótaigh é sa chlár athruithe, mar nochtfaidh an chéad iarratas aisghairme eile é.

Dara coinníoll: cé a choinníonn an eochair phríobháideach nua?

Is é seo an cinneadh a mhothaíonn úsáideoirí, mar sin déan go sainráite é. Coinníonn eochair a ghineann an cliant agus a sheoltar mar iarratas an leath phríobháideach ar an ngléas ón gcéad ordú, agus ní bhaineann an riarthóir riamh léi. Tá eochair a ghineann an freastalaí níos éasca do ghléasanna gan uirlisí, ach déanann sí an riarthóir ina chaomhnóir ar gach eochair agus leathnaíonn sí tionchar comhréitigh ar an bhfreastalaí.

Le Easy-RSA 3 i gcoinne CA atá ann cheana, is dhá ordú iad iarratas a iompórtáil agus a shíniú:

./easyrsa import-req /tmp/alice.req alice
./easyrsa sign-req client alice

Roghnaigh cineál an teastais go feasach. Tugann iarratas a shínítear mar theastas freastalaí seachas cliant comhad a bhféachann go maith agus a dhiúltaíonn an piara, agus is annamh a deir an teachtaireacht earráide cén fáth. Le openssl ca tá an rogha chéanna sna síntí a chuireann tú ar aghaidh, ní sa roinn réamhshocraithe.

Tríú coinníoll: an bhfuil níos mó ná teastas ag teastáil ón bhfreastalaí?

Do ghnáthfhreastalaí OpenVPN le fíordheimhniú teastais, is é an teastas an clárú: éiríonn an t-ainm coiteann ina fhéiniúlacht cliaint, agus braitheann aon fhillteán, bealach brúite nó seoladh statach ar an ainm sin. Cuir an teastas leis agus déan dearmad ar an gcumraíocht, nascfaidh an tollán ach ní thagann na bealaí atá de dhíth riamh.

Athraíonn ardáin é seo. Coinníonn OpenVPN Access Server a bhunachar úsáideoirí féin, mar sin ní cuntas é teastas sínithe; caithfidh an cuntas a bheith ann agus cead a bheith aige. Mapálann geataí eile teaghrán féiniúlachta chuig grúpa. De ghnáth baineann clárú gléas amháin le dhá chóras, agus ní hé an teastas ach an chéad cheann.

An nós imeachta incriminteach agus cathain is ceart atógáil

An seicheamh a chuireann gléas amháin leis gan damáiste: deimhnigh an t-eisitheoir de réir méarloirg, tóg cóip úr den fhillteán PKI, iompórtáil agus sínigh an t-iarratas don ról cliaint, seachaid an teastas lena shlabhra tríd an gcainéal ceadaithe, agus fíoraigh sula nascann an t-úsáideoir:

openssl verify -CAfile ca.crt alice.crt
openssl x509 -in alice.crt -noout -subject -issuer -dates -purpose

Ba chóir go dtaispeánfadh an líne cuspóra SSL client. Críochnaigh trí chóip an CA a nuashonrú tar éis na heisiúna, mar athshlánaíonn cóip a tógadh sula ndéantar an tsraith nua a thaifeadadh staid gan an gléas a chuireas tú leis anois.

Tá atógáil ceart i dtrí chás: tá eochair an CA comhréitithe, tá staid na heisiúna caillte go neamhleigheasta, nó tá tú ag athrú halgartaim na heochrach nó polasaí na dteastas go toiliúil. Is tionscadail iad uile le plean athchláraithe do gach cliant, ní céimeanna in iarratas ar ghléas amháin. Mura bhfuil aon cheann i bhfeidhm, cláraigh go hincriminteach.