Úsáid do CA fiontraíochta atá ann cheana do phiaraí OpenVPN

Ní éilíonn aon rud in OpenVPN go dtiocfadh an teastas ó Easy-RSA, agus de ghnáth níor cheart do chabhlach a bhfuil PKI eagraíochtúil aige cheana féin dara ceann a thógáil. Ní hé an fíorobair uirlis a roghnú, ach a shocrú cad is brí leis na féiniúlachtaí a eisíodh, cé na piaraí a nglacann an tollán leo agus conas a shroicheann síneadh agus cúlghairm an fíoraitheoir. Téigh trí na cúig chéim thíos in ord, mar ní féidir le céim níos déanaí cinneadh róil a rinneadh sa chéad cheann a dheisiú.

Eisigh dhá ról in ionad aon fhéiniúlacht chomhroinnte

Teastaíonn a theastas féin agus a eochair phríobháideach mheaitseála ó gach piara. Iarr ar an bhfoireann PKI féiniúlacht freastalaí a bhfuil úsáid freastalaí aici agus féiniúlachtaí cliaint ar leith a bhfuil úsáid cliaint acu, ionas gur féidir leis an tollán idirdhealú a dhéanamh eatarthu le linn an chroitheadh láimhe.

Seas an fód in aghaidh na ngearrbhealaí a thagann chun solais faoi bhrú spriocdhátaí. Má chóipeáiltear eochair freastalaí gréasáin ar ríomhairí glúine, scriostar an t-idirdhealú a bhfuil an tseiceáil róil ag brath air, agus má shuiteáiltear eochair shíniúcháin CA ar chríochphointe VPN, iompaítear óstach amháin atá i mbaol ina ordlathas atá i mbaol. Is féidir le beartán PKCS12 eochair chríochphointe agus a shlabhra a iompar, ach ní thugann sé riamh cead an fhéiniúlacht sin a athúsáid i ról eile.

Sreangaigh na hionchuir mhuiníne ar gach taobh

Teastaíonn ancaire muiníne, a bhféiniúlacht féin agus ionchas róil shoiléir ón gcliaint agus ón bhfreastalaí araon. Breathnaíonn blúire cliaint a luann an trí rud mar seo.

client
ca /etc/openvpn/pki/issuing-root.pem
cert /etc/openvpn/pki/device-17.crt
key /etc/openvpn/pki/device-17.key
remote-cert-tls server
verify-x509-name vpn.corp.example name
crl-verify /etc/openvpn/pki/issuing.crl

Déanann taobh an fhreastalaí é a mhacasamhlú le remote-cert-tls client agus lena theastas féin, agus sin é a choisceann teastas cliaint a bheith glactha mar fhreastalaí. Is cinneadh ar leith ón tseiceáil róil é an tseiceáil ainm. Léigh an chumraíocht atá suiteálaithe chun a fheiceáil cé acu réimse a chuirtear i gcomparáid, seach a bheith ag glacadh le meaitseáil ainm óstaigh ar nós brabhsálaí. Ba cheart don dá thaobh a bheith soiléir freisin faoin eisitheoir a bhfuil muinín acu as, mar ní hionann cosán comhaid comhroinnte ar fud an chabhlaigh agus polasaí comhroinnte.

Seachaid na hidirmheáin gan muinín a leathnú

Ní gá don dá thaobh slabhra eisithe amháin a roinnt. Nuair a chuireann piara teastas i láthair atá sínithe ag idirmheán, teastaíonn an t-idirmheán sin ar fáil ón taobh fíoraithe, agus déanann OpenVPN idirdhealú idir ionchur ancaire muiníne agus na teastais bhreise a úsáidtear chun slabhra a chuirtear i láthair go háitiúil a chomhlánú. Déanann tagairt roghanna TLS OpenVPN 2.6 an dá rud a dhoiciméadú.

Ní fadhb ann féin é CA idirmheánach, ach is fadhb é fréamh fiontraíochta leathan a chaitear isteach sa bheartán muiníne. Dá leithne an t-ancaire, is ea is mó teastas a shásaíonn an tástáil slabhra, agus ní iompaíonn seiceáil róil é sin ina liosta d'fhoireann údaraithe. Caolaigh an t-ancaire chuig an eisitheoir a shíníonn féiniúlachtaí VPN i ndáiríre nuair a cheadaíonn an t-ordlathas é. Mura gceadaíonn, déan an t-ancaire níos leithne a dhoiciméadú mar riosca a nglactar leis go toiliúil in ionad é a fhágáil intuigthe.

Aontaigh leis an bhfoireann PKI maidir le conas a shroicheann síneadh agus cúlghairm na fíoraitheoirí VPN, lena n-áirítear cé na heisitheoirí atá tábhachtach agus cé a fhoilsíonn an liosta. Is treoir é pointe dáileacháin CRL atá leabaithe i dteastas, ní fianaise go bhfuair rud éigin é.

Socraigh conas a thagann cúlghairm i ndáiríre

Cuireann crl-verify ar an bhfíoraitheoir comhairle a ghlacadh le comhad nó críochphointe, agus teastaíonn úinéir agus cosán athnuachana ón socrú sin. Stopann liosta a chóipeáiltear uair amháin le linn an imlonnaithe de do chosaint go ciúin an chéad uair a chúlghairtear teastas.

Scríobh síos an t-am iomadaithe a bhfuiltear ag súil leis agus tástáil é le teastas a bhfuil tú sásta a chúlghairm. Mura féidir an liosta a athnuachan ar óstach VPN, is é an rogha eile tréimhse bhailíochta níos giorra móide próiseas athnuachana a ritheann i ndáiríre, ní glacadh leis go n-oibríonn cúlghairm toisc go bhfuil URL ann.

Cruthaigh glacadh le cliant fíor

Nasc cliant ar cheart cead a bheith aige agus deimhnigh sonraí an teastais idirbheartaithe sa loga. Ansin triail na cásanna nach mór teip a fháil orthu: teastas cliaint a chuirtear i láthair mar fhreastalaí, teastas ó eisitheoir lasmuigh den ancaire muiníne, agus teastas cúlghairthe má tá ceann breise agat.

Taifead an t-eisitheoir glactha, an tseiceáil róil agus an fhoinse chúlghairthe in aice leis an bpróifíl. Is é an taifead sin a theastaíonn ón gcéad innealtóir eile nuair a stopann gléas a d'oibrigh an mhí seo caite ag nascadh, agus is fianaise é freisin go bhfuil an CA fiontraíochta á úsáid laistigh de theorainn glactha dhoiciméadaithe seach mar dhumpa muiníne ilchuspóireach.