Coinnigh do CA fréimhe VPN as líne agus eisigh teastais fós

Freagraíonn do VPN do naisc ag 3 a.m. fad a bhíonn an meaisín a shíníonn a chuid teastas múchta i ndrár. Ní dhéanann cliant a bhailíochtaíonn teastas an fhreastalaí teagmháil riamh le do CA, mar sin ní gá don CA a bheith inrochtana d’aon nasc. Is é an chuid a dteastaíonn pleanáil uaidh an lá a gcaithfear teastas a eisiúint, a athnuachan nó a chúlghairm fad a fhanann an eochair fhréimhe faoi ghlas.

Cad a bhailíochtaíonn nasc i ndáiríre

Nuair a nascann an cliant OpenVPN, siúlánn sé an tslabhra sínithe ó dhuille an fhreastalaí suas go teastas CA a bhfuil muinín aige as cheana, seiceálann sé an fhuinneog bailíochta agus, má deir an phróifíl é, féachann sé ar liosta cúlghairme. Ní chuardaíonn sé do CA fréimhe riamh. Déanann an freastalaí an íomhá scátháin do theastais chliaint. Ag am an naisc ní bhíonn i láthair ach an duille, an t-idirmheánach agus an beart muiníne a dháil tú níos luaithe.

Is é a theipeann i ndáiríre ceann de thrí rud: níl an eochair sínithe ar fáil ag am an eisiúna, tá liosta cúlghairme imithe i léig, nó tá beart muiníne an chliaint níos sine ná an tslabhra a chuireann an freastalaí i láthair. Is fadhb phróisis an chéad cheann; is fadhbanna dáileacháin an dá cheann eile. Ní éilíonn aon cheann acu go mbeadh an eochair fhréimhe ar líne, agus ní dhéanann seirbhís VPN bhainistithe a éilíonn teastas príobháideach le haghaidh fíordheimhnithe tolláin ach an t-údarás sínithe a aistriú chuig an soláthraí. Oibríonn Azure pointe-go-suíomh ar an mbealach eile: uaslódálann tú teastas fréimhe agus glactar le teastais a shínítear faoina bhun, mar sin fiafraigh cé a shíníonn, cé a bhailíochtaíonn agus conas a tharraingítear teastas siar go luath.

Tóg an fhréamh ar óstach nach bhfaigheann seoladh riamh

Is annamh a úsáidtear fréamh as líne: chun teastas an CA idirmheánaigh a shíniú, agus níos déanaí chun é a athnuachan nó a chúlghairm. Tarlaíonn gach rud eile leibhéal amháin níos ísle. Déan obair na fréimhe ar mheaisín a choinnítear amach ón líonra, ó chóras beo más féidir, agus taifead cé a bhí sa seomra. Glactar leis na horduithe le OpenSSL 1.1.1 nó níos nuaí, mar níl -addext ar fáil i sean-thógálacha.

openssl genpkey -algorithm EC -pkeyopt ec_paramgen_curve:P-256 -out root.key
openssl req -x509 -new -key root.key -sha256 -days 7300 \
  -subj "/CN=Example VPN Root CA" -out root.crt \
  -addext "basicConstraints=critical,CA:TRUE" \
  -addext "keyUsage=critical,keyCertSign,cRLSign"

Cruthaigh an t-idirmheánach ar óstach an tsínithe agus tabhair a iarratas amháin chuig an meaisín as líne. Síníonn an fhréamh an t-iarratas sin le fad conaire nialasach, mar sin féadfaidh an CA idirmheánach teastais chríochphointe a shíniú ach ní fhéadfaidh sé CA eile a chruthú faoina bhun. Stopann an t-aon síneadh sin óstach sínithe atá curtha i gcontúirt ó údarás comhionann le fréamh a bhualadh. Ná húsáid ECDSA ach amháin má ritheann gach cliant OpenVPN 2.4 nó níos nuaí; mura ndéanann, gin eochracha RSA agus coinnigh an sreabhadh mar an gcéanna.

openssl genpkey -algorithm EC -pkeyopt ec_paramgen_curve:P-256 -out intermediate.key
openssl req -new -key intermediate.key -subj "/CN=Example VPN Intermediate CA" -out intermediate.csr
openssl x509 -req -in intermediate.csr -CA root.crt -CAkey root.key \
  -CAcreateserial -days 3650 -sha256 -extfile intermediate.ext -out intermediate.crt

Tá basicConstraints=critical,CA:TRUE,pathlen:0, keyUsage=critical,keyCertSign,cRLSign agus authorityKeyIdentifier=keyid:always in intermediate.ext. Cuir an eochair fhréimhe ar ais ina taisce sula nasctar óstach an tsínithe arís. Más gá don fhréamh an t-idirmheánach a chúlghairm, sínigh é le openssl ca -config root.cnf -extensions intermediate_ca i gcoinne index.txt ar leibhéal fréimhe in ionad openssl x509 -req, ionas go dtaifeadtar an tsraithuimhir; ansin seol an liosta fréimhe mar thoradh laistigh de phróifíl an chliaint, áit a léann crl-verify bunaithe ar chomhad é ag am tosaithe. Seol beart chuig cliaint a bhfuil an dá theastas CA ann; ní bhailíochtóidh duille amháin i gcoinne na fréimhe.

Eisigh duilleoga ón idirmheánach, le bunachar sonraí

Oibríonn síniú le openssl x509 -req go dtí go dteastaíonn cúlghairm uait, mar ní thaifeadann aon rud an tsraithuimhir. Úsáid openssl ca ón gcéad teastas ionas go mairfidh sraithuimhir, dul in éag agus staid cúlghairme i mbunachar sonraí amháin. Cruthaigh comhaid an bhunachair sonraí uair amháin, ansin dírightear an chumraíocht orthu:

mkdir -p /etc/vpn-ca/intermediate/newcerts
touch /etc/vpn-ca/intermediate/index.txt
echo 1000 > /etc/vpn-ca/intermediate/serial
echo 1000 > /etc/vpn-ca/intermediate/crlnumber

[ ca ]
default_ca = CA_default
[ CA_default ]
dir = /etc/vpn-ca/intermediate
database = $dir/index.txt
new_certs_dir = $dir/newcerts
serial = $dir/serial
crlnumber = $dir/crlnumber
certificate = $dir/intermediate.crt
private_key = $dir/intermediate.key
default_md = sha256
default_days = 365
default_crl_days = 30
unique_subject = no
policy = policy_any
[ policy_any ]
commonName = supplied
[ server_cert ]
basicConstraints = CA:FALSE
keyUsage = critical, digitalSignature
extendedKeyUsage = serverAuth
subjectAltName = @server_names
[ client_cert ]
basicConstraints = CA:FALSE
keyUsage = critical, digitalSignature
extendedKeyUsage = clientAuth
[ server_names ]
DNS.1 = vpn.example.com

Glactar leis an líne úsáide eochrach le heochair ECDSA; cuir keyEncipherment leis do RSA. Tabhair a ainm coitianta féin do gach cliant, mar OpenVPN aithníonn sé nasc de réir an réimse sin, agus ní féidir idirdhealú a dhéanamh idir dhá ríomhaire glúine a roinneann CN=vpn-client i logaí, i rialacha client-config-dir ná in aon bhrú in aghaidh an úsáideora, agus caillfidh tú an chur i leith a dhéanann cinneadh cúlghairme inchosanta. Eisigh agus bailíochtú duille mar seo:

openssl req -new -key alice.key -subj "/CN=alice-laptop" -out alice.csr
openssl ca -config intermediate.cnf -extensions client_cert -in alice.csr -out alice.crt -batch
openssl verify -CAfile ca-bundle.crt -untrusted intermediate.crt alice.crt

Coinnigh an eochair sínithe taobh thiar de theorainn beartais in ionad í a chóipeáil chuig óstach an VPN: seirbhís bheag a fhíordheimníonn an t-iarratas, a sheiceálann an t-ainm coitianta i gcoinne liosta ceadaithe agus nach dtugann ar ais ach an teastas. Logáil gach sraithuimhir; is é an log an t-aon nasc idir teastas agus an duine a d’iarr é.

Foilsigh cúlghairm gan an fhréamh a mhúscailt

Cúlghaireann an t-idirmheánach teastais chliaint, ní dhéanann an fhréamh riamh. Ní bhíonn tábhacht ag baint le liosta na fréimhe ach amháin nuair a dhóitear idirmheánach. Dírigh an freastalaí chuig an liosta idirmheánach le crl-verify. Luchtaítear CRL bunaithe ar chomhad ag tús na seirbhíse, mar sin athluchtaigh tar éis gach athghinte; léann an fhoirm eolaire an staid ag am an naisc agus cosnaíonn sé comhad amháin in aghaidh na sraithuimhreach.

Cúlghair agus athghin le dhá ordú ón mbunachar sonraí céanna:

openssl ca -config intermediate.cnf -revoke /etc/vpn-ca/intermediate/newcerts/1001.pem
openssl ca -config intermediate.cnf -gencrl -out /etc/openvpn/crl.pem

Ansin féach ar an gclog. Iompróidh CRL réimse an chéad uasdátú eile, agus nuair a théann an dáta sin thart diúltaíonn piaraí bailíochtaithe don liosta in ionad neamhaird a dhéanamh de. Fágann athghiniúint mhíosúil le default_crl_days = 30 spás; ní fhágann an ceann bliantúil. Is é saolré duille níos giorra an rialú is iontaofa, mar ní bhíonn feidhm ag cúlghairm ach amháin san áit a ndéantar an liosta a cheadú.

Tástáil an tslabhra, ansin scríobh an searmanas síos

Atáirg ceithre theip sula gcuirfidh tú muinín sa dearadh. Bailíochtaigh an tslabhra le openssl verify -CAfile ca-bundle.crt -untrusted intermediate.crt server.crt. Nasc le teastas cliaint atá imithe in éag agus deimhnigh go ndiúltaíonn an freastalaí dó. Cúlghair cliant tástála, athluchtaigh agus deimhnigh go dtagann an liosta i bhfeidhm. Bog clog óstaigh lá chun tosaigh, mar féadann clog mícheart teastais a eisiúint agus a dhiúltú a bhféadfadh breathnú bailí in áit eile.

Ní rialú é fréamh as líne ach amháin má tá na páipéir ann: beirt ainmnithe don searmanas, taifead de gach sraithuimhir shínithe, cúltaca criptithe a stóráiltear ar leithligh ón meaisín, agus tástáil athchóirithe ar óstach leithlise. Sínigh idirmheánach breise le linn an tsearmanais chéanna ionas nach gcuirfidh óstach sínithe marbh iallach ort an fhréamh a dhíghlasáil ag meán oíche.

Sula nglaonn tú críochnaithe air, deimhnigh cúig rud: níl an eochair fhréimhe ar óstach líonraithe, ní mhaireann an eochair idirmheánach ach ar óstach an tsínithe, iompraíonn beart an chliaint an dá theastas CA, tá an chéad uasdátú eile sa todhchaí ag an CRL, agus tá iontráil fhéilire ag duine éigin do gach dul in éag sa tslabhra. Má tá ceann ar iarraidh, níl sa chumraíocht a bhféadfadh breathnú as líne ach rud neamhdhoiciméadaithe.