Engadir un cliente VPN sen reconstruír a CA

Necesitas outro certificado para outro portátil, pero o primeiro titorial dos resultados comeza cunha orde que borra o directorio PKI. Esa orde pertence á instalación inicial, non á inscrición, e executala costa a CA, o historial de emisión e todos os perfís de cliente que confiaban no emisor antigo. A decisión é máis estreita: conserva o teu emisor un estado utilizábel e encaixa o novo dispositivo na túa política de inscrición? Tres condicións decídeno e só unha xustifica reconstruír.

Que destrúe realmente unha reconstrución

Reinicializar unha PKI substitúe o directorio por unha estrutura baleira: nova clave e certificado de CA, base de emisión baleira e contador de series novo. Os clientes non seguen en silencio; os seus perfís fixan a CA antiga, así que cada dispositivo debe reinscribirse, e os inaccesíbeis a man.

A perda máis silenciosa é a contabilidade. A revocación depende de saber que números de serie emitiches e a quen. Borra o índice e aínda podes asinar, pero non afirmar con confianza cales dos certificados pendentes querías revogar. Un directorio de CA con certificados sen o estado do emisor restaura a metade equivocada.

Copiar a clave privada da CA xunto ao servidor en marcha é o outro atallo que convén rexeitar: converte unha autoridade de sinatura que debe estar fóra de liña noutro ficheiro dun host que remata tráfico non confiábel.

Condición un: segue accesíbel o estado do emisor?

Localiza o directorio no que o servidor confía de verdade antes de decidir. Compara o certificado que presenta como CA co do directorio PKI por impresión dixital, non por nome de ficheiro:

openssl x509 -in ca.crt -noout -fingerprint -sha256
openssl x509 -in /etc/openvpn/ca.crt -noout -fingerprint -sha256

Se as impresións coinciden, a inscrición é incremental e non debes reconstruír nada. Se difiren, vas asinar cunha CA na que o servidor non confía: o certificado instálase limpo e falla no salto de man, e ese erro diagnostícase durante horas como un fallo do cliente.

Despois busca o estado de emisión: o índice, o contador de series e o ficheiro do número de CRL. Se falta o índice pero sobrevive a clave, podes emitir, pero herdas un problema de rexistro de revogacións. Anótao no rexistro de cambios, porque a próxima revogación o revelará.

Condición dous: quen custodia a nova clave privada?

É a decisión que senten os usuarios, así que tómaa explicitamente. Unha clave xerada no cliente e enviada como solicitude deixa a metade privada no dispositivo desde a primeira orde e o administrador nunca a toca. Unha clave xerada no servidor é máis doada para dispositivos sen ferramentas, pero converte o administrador en custodio de todas as claves e amplía o impacto dun compromiso.

Con Easy-RSA 3 contra unha CA existente, importar e asinar unha solicitude son dúas ordes:

./easyrsa import-req /tmp/alice.req alice
./easyrsa sign-req client alice

Escolle o tipo de certificado a propósito. Unha solicitude asinada como certificado de servidor no canto de cliente produce un ficheiro que parece correcto e o par rexeita, e o erro raramente di por que. Se asinas con openssl ca, a mesma elección vive nas extensións que pasas, non na sección por defecto.

Condición tres: necesita o servidor máis que un certificado?

Para un servidor OpenVPN normal con autenticación por certificado, o certificado é a inscrición: o nome común pasa a ser a identidade do cliente, e calquera directorio, ruta empurrada ou enderezo estático depende dese nome. Engade o certificado e esquece a configuración e o túnel conecta mentres as rutas necesarias non aparecen.

As plataformas cambian isto. OpenVPN Access Server mantén a súa propia base de usuarios, así que un certificado asinado non é unha conta; a conta debe existir e estar permitida. Outras pasarelas asocian unha cadea de identidade a un grupo. Inscribir un dispositivo adoita tocar dous sistemas, e o certificado é só o primeiro.

O procedemento incremental e cando reconstruír

A secuencia que engade un dispositivo sen danos: confirma o emisor por impresión dixital, toma unha copia nova do directorio PKI, importa e asina a solicitude para o rol de cliente, entrega o certificado coa súa cadea pola canle aprobada e verifica antes de que o usuario conecte:

openssl verify -CAfile ca.crt alice.crt
openssl x509 -in alice.crt -noout -subject -issuer -dates -purpose

A liña de propósito debe mostrar SSL client. Remata actualizando a copia da CA despois da emisión, porque unha copia anterior ao novo número de serie restaura un estado sen o dispositivo que acabas de engadir.

Reconstruír é correcto en tres casos: a clave da CA está comprometida, o estado de emisión perdeuse sen remedio ou cambias deliberadamente o algoritmo ou a política. Os tres son proxectos cun plan de reinscrición para cada cliente, non pasos dunha solicitude dun dispositivo. Se non se aplica ningún, inscribe de forma incremental.