Necesita Easy-RSA para OpenVPN? Depende de quen posúa a CA

Un titorial di que instale Easy-RSA antes de configurar OpenVPN, así que a xente supón que os dous van xuntos. Non é así. Easy-RSA é unha utilidade de xestión de PKI que manexa OpenSSL; OpenVPN é o túnel. Unha decide en quen confiar, o outro move paquetes.

A comparación que importa non é que ferramenta é mellor. É quen posúe o emisor na súa organización.

Que é Easy-RSA en realidade

O proxecto descríbese como unha utilidade de xestión de PKI X.509 na que OpenSSL fai o traballo criptográfico. Iso significa que envolve a xeración de claves, as solicitudes de certificado, a política de sinatura e a revocación nunha estrutura de directorios repetible. Non engade unha capa de cifrado a un túnel xa establecido nin fai que RSA sexa máis forte ca a mesma clave producida por outra ferramenta competente. O que fai é que o fluxo de traballo sexa auditable.

Isto é un beneficio real, pero operativo e non criptográfico.

Siga un portátil durante a alta

Un portátil novo xera a súa propia clave e envía unha solicitude de certificado, así que a clave privada nunca sae do dispositivo. O emisor asina entón esa solicitude cun tipo que escolle as extensións correctas para un rol de cliente. En Easy-RSA iso é ./easyrsa sign-req client laptop-a.

O operador aínda ten que decidir que esta persoa merece acceso. Ningunha ferramenta de sinatura deduce o dereito dun nome común.

O certificado asinado volve a o dispositivo que garda a clave correspondente, e o despregamento da VPN achega por separado a confianza do servidor, as comprobacións de identidade, a política de rede e os requisitos de conta. Un ficheiro no directorio de saída do emisor non demostra nada diso. Só o fai un saúdo completo.

Siga o mesmo portátil á saída

A retirada é onde de verdade se ve a escolla de emisor. Un fluxo de traballo utilizábel identifica o certificado, rexistra a revocación e produce o que os sistemas que confían nel necesitan para rexeitalo. Easy-RSA separa ./easyrsa revoke laptop-a de ./easyrsa gen-crl, e o segundo paso é o que a xente esquece. Xerar unha CRL no emisor non a entrega a ningún verificador de VPN.

A distribución, o comportamento ao recargar e que ocorre coas sesións xa establecidas son decisións de despregamento, non funcións da ferramenta.

Esa fenda é o argumento práctico a favor dun fluxo de traballo asentado fronte a unha morea de comandos openssl ad hoc. A parte difícil de operar un emisor non é o primeiro certificado. É manter coherentes os rexistros de emisión, as copias de seguridade, as renovacións e as retiradas mentres os dispositivos van e veñen.

Cando xa existe un emisor

Se a súa organización xa opera un servizo de certificados aprobado, rexístrese a través del. Levantar unha segunda CA porque un titorial incluía comandos de Easy-RSA xera traballo de distribución de confianza, traballo de copias de seguridade e unha segunda cousa que revogar correctamente.

Un emisor local é un compromiso de operar unha CA, non unha casiña nunha guía de instalación.

Cando Easy-RSA é a decisión correcta

Para un despregamento privado pequeno que realmente necesita o seu propio emisor, Easy-RSA ofrece un fluxo de traballo centrado sen montar cada operación a man. A guía orixinal de Easy-RSA cobre os pasos de solicitude, sinatura, revocación e CRL en orde. Manteña o material de sinatura da CA co seu propietario designado; os clientes necesitan as súas propias credenciais e a confianza pública pertinente, nunca unha copia da clave de sinatura.

Un deseño de OpenVPN baseado en PIN é outra disposición lexítima de confianza, non unha PKI rota agardando reparación. E o inicio de sesión non elimina a necesidade de autenticar o servidor baixo o protocolo que escollese.

Responda catro preguntas antes de escoller: quen aproba unha identidade nova, onde vive a súa clave privada, como chega o certificado ao cliente e como unha identidade retirada deixa de ser aceptada.