Conas eochair chliaint VPN a ghiniúint agus CSR a chur isteach lena shíniú

Níos luaithe nó níos déanaí, tairgeann úsáideoir VPN eochair phríobháideach a sheoladh trí ríomhphost ionas gur féidir leis an riarthóir teastas a dhéanamh, agus is é an tairiscint sin go baileach an rud ar cheart a dhiúltú. Coinníonn an sreabhadh a oibríonn an eochair ar an gcliant ón gcéad ordú: gineann an cliant í, seolann sé iarratas ar shíniú teastais, fíoraíonn agus údaraíonn an t-eisitheoir é, agus tagann an teastas sínithe ar ais chun suí in aice leis an eochair a chruthaigh é. Teipeann an seicliosta thíos go dúnta ag gach céim, agus sin an pointe, mar is iad dhá cheann de na cúig chéim na cinn a scipeálann daoine nuair a bhíonn deifir orthu.

Céim 1: gin an eochair san áit a mbeidh sí ina cónaí

Gin ar an meaisín a choinneoidh an eochair, agus fág ansin í. Téann eochair bhogearraí isteach i gcomhad a bhfuil ceadanna sriantacha aige; ní thiocfaidh eochair atá tacaíochta ag crua-earraí nó i stór bainistithe ina comhad riamh, agus is uirlis ar leithligh a bhíonn ina cosán cláraithe go hiondúil seachas ordú OpenSSL. Ar aon chuma, ní gá d'aon duine an leath phríobháideach a fheiceáil.

Breathnaíonn an sreabhadh bogearraí mar seo, agus an eochair agus an t-iarratas cruthaithe in aon seisiún amháin:

umask 077
openssl genpkey -algorithm RSA -pkeyopt rsa_keygen_bits:3072 -out client.key
openssl req -new -key client.key -out client.csr -subj "/CN=alice-vpn/O=Example"

Tá níos mó tábhachta ag an líne umask ná mar a fheictear. Gan í, scríobhtar an eochair go hinléite ag cách ar chóras atá ceadmhach go réamhshocraithe, agus scaipeann cóipeáil an chomhaid níos déanaí é sin. Tá athúsáid eochrach atá ann cheana dlisteanach nuair a bhíonn sí cosanta cheana féin agus ag teacht le do bheartas; tá sé níos éasca údar a thabhairt le ceann nua a ghiniúint in aghaidh gach feiste.

Céim 2: cuir an fhéiniúlacht san iarratas, ní sa ríomhphost

Socraigh cad a fhíoraíonn an VPN i ndáiríre sula gcruthaítear an t-iarratas, mar baineann an freagra sin le taobh istigh den CSR. OpenVPN nascann sé féiniúlacht an chliaint go traidisiúnta le comhainm an teastais, agus déanann uirlisí ar nós strongSwan teaghrán féiniúlachta a mheaitseáil leis an ábhar nó le hainm malartach ábhair. Ní fianaise é ríomhphost a deir gurb é alice mo ainm, agus ní bhíonn iarratas a ndeir a ábhar an rud céanna ach beagán níos fearr.

Cuir ainm malartach ábhair leis nuair a sheiceálann do fhíoraitheoir ceann, ós rud é gur minic a dhéanann meaitseáil nua-aimseartha neamhaird den CN sean:

openssl req -new -key client.key -out client.csr \
  -subj "/CN=alice-vpn/O=Example" \
  -addext "subjectAltName=DNS:alice-vpn"

Coinnigh an CN gearr, cobhsaí agus ceangailte leis an gcuntas seachas le múnla ríomhaire glúine. Is fadhb tacaíochta é ainm a bhfuil sraithuimhir fheiste an úsáideora ann a fhanann leis an gcéad athsholáthar crua-earraí.

Céim 3: fíoraigh an t-iarratas sula síníonn tú é

Fíoraíonn an t-eisitheoir dhá rud éagsúla, agus is é a meascadh an botún clasaiceach. Ar dtús, go bhfuil an t-iarratas comhsheasmhach go hinmheánach: fíoraítear an síniú i gcoinne na heochrach poiblí a iompraíonn sé. Ar an dara dul síos, go bhfuil teideal ag an iarratasóir ar an rud a iarrann an t-iarratas, agus ní féidir le haon seiceáil chripteagrafach freagra a thabhairt air sin.

Is ordú amháin an chuid mheicniúil, agus ba cheart di toradh fíoraithe a phriontáil in éineacht leis an ábhar:

openssl req -in client.csr -noout -verify -subject
openssl req -in client.csr -noout -pubkey | openssl pkey -pubin -noout -text

Tabhair faoi deara cad a chruthaíonn sé sin. Ní thaispeánann iarratas a fhíoraítear ach go raibh an eochair phríobháideach chomhfhreagrach ag an seoltóir tráth an aighnithe; ní chruthaíonn sé gurb é an seoltóir an duine a ainmnítear san ábhar, agus ní údaraíonn sé an rochtain ar an ngrúpa nó ar an mbealach a n-iarrtar. Is geata ar leithligh é athbhreithniú cláraithe, agus ba cheart iarratas ar ghrúpa nár cheadaigh aon duine a dhiúltú seachas é a chur in eagar go ciúin.

Céim 4: údaraigh, ansin sínigh le síntí follasacha

Is é an síniú an áit a gcinneann an CA beartas seachas glacadh leis an iarratas focal ar fhocal. Baineann bailíocht, úsáid eochrach agus an tsíneadh róil le comhad síntí, ní le réamhshocruithe nach cuimhin leat sé mhí ina dhiaidh sin. Teastaíonn fíordheimhniú cliaint ó theastas cliaint le haghaidh fíordheimhniú VPN mar chuspóir.

cat > client.ext <<'EOF'
basicConstraints = CA:FALSE
keyUsage = digitalSignature
extendedKeyUsage = clientAuth
EOF
openssl x509 -req -in client.csr -CA ca.crt -CAkey ca.key \
  -CAcreateserial -days 365 -extfile client.ext -out client.crt

Úsáid -CAserial leis an gcomhad sraithe atá ann cheana má tá ceann in úsáid cheana, agus coinnigh eochair an CA as líne nó sa stór cosanta a ainmníonn do bheartas. Caithfidh sraithuimhreacha teastas a bheith uathúil in aghaidh an eisitheora; má athchruthaítear an comhad sraithe ón tús tá riosca ann go mbeidh imbhuailtí ann a fhágann an chúlghairm débhríoch.

Taifead cad a eisíodh: sraithuimhir, ábhar, féiniúlacht a iarradh, duine a cheadaigh agus éag. Is é an taifead sin an rud a bhfuil cinneadh cúlghairme ag brath air níos déanaí, agus ní féidir é a atógáil ón teastas amháin má tá lorg an chláraithe ina chónaí i mbosca poist amháin.

Céim 5: suiteáil é in aice leis an eochair chomhoiriúnach agus cruthaigh an péire

Faigheann an cliant an teastas agus slabhra an eisitheora, riamh eochair. Sula nascann tú, deimhnigh go ndéanann an teastas péireáil i ndáiríre leis an eochair atá cheana ar diosca, mar chruthaíonn péire mímheaitseála teip láimhe chroise mearbhallach i bhfad níos déanaí:

openssl x509 -in client.crt -noout -pubkey | openssl pkey -pubin -outform DER | openssl sha256
openssl pkey -in client.key -pubout -outform DER | openssl sha256

Caithfidh an dá achoimre teacht le chéile. Ansin nasc agus deimhnigh gurb í an fhéiniúlacht a logálann an freastalaí an ceann a d'údaraigh tú, ní hamháin gur éirigh an tollán. Má chailleann an eochair nó má athsholáthraítear an fheiste, is é an freagra cúlghairm móide iarratas nua ón bhfeiste nua; ní athshlánaíonn iarraidh ar an riarthóir eochair a sheoladh ar ais ó áit éigin eile an bunleagan agus briseann sé go ciúin an tsamhail a rinne an t-iarratas sábháilte.