Yi amfani da CA na kamfani da kuke da shi don abokan OpenVPN

Babu wani abu a cikin OpenVPN da ke buƙatar takardar shaidar ta fito daga Easy-RSA, kuma tawagar da ke da PKI na ƙungiya tuni yawanci bai kamata ta gina ta biyu ba. Ainihin aikin ba zaɓin kayan aiki ba ne, a'a yanke shawarar abin da shaidun da aka bayar ke nufi, waɗanne abokan da ramin ke karɓa, da yadda sabuntawa da sokewa ke isa ga mai tabbatarwa. Ku bi matakai biyar da ke ƙasa bisa tsari, domin mataki na gaba ba zai iya gyara shawarar rawar da aka yanke a farkon ba.

Ba da matsayi biyu maimakon ainihi ɗaya da aka raba

Kowane abokin yana buƙatar takardar shaidarsa da maɓallin sirri mai dacewa. Ku nemi ƙungiyar PKI ainihin uwar garke mai amfani da uwar garke da kuma ainihan abokan ciniki daban waɗanda ke ɗauke da amfanin abokin ciniki, domin ramin ya iya bambanta su biyun lokacin musafaha.

Ku yi tsayin daka da gajerun hanyoyin da ke bayyana a ƙarƙashin matsin ƙayyadaddun lokaci. Kwafin maɓallin uwar garken yanar gizo a kan kwamfutoci masu ɗauka yana shafe bambancin da binciken matsayi ya dogara da shi, kuma maɓallin sa hannu na CA da aka sanya a ƙarshen VPN yana mai da mai masaukin da aka tursasa zuwa jerin matsayi da aka tursasa. Kunshin PKCS12 na iya ɗaukar maɓallin ƙarshen da sarkarsa, amma ba ya taɓa ba da izinin sake amfani da wannan ainihin a wani matsayi.

Haɗa abubuwan amincewa a kowane gefe

Abokin ciniki da uwar garke kowanne yana buƙatar anka na amincewa, ainihin kansa da kuma tsammanin matsayi bayyananne. Yankin abokin ciniki da ke bayyana duka uku yana kama da wannan.

client
ca /etc/openvpn/pki/issuing-root.pem
cert /etc/openvpn/pki/device-17.crt
key /etc/openvpn/pki/device-17.key
remote-cert-tls server
verify-x509-name vpn.corp.example name
crl-verify /etc/openvpn/pki/issuing.crl

Gefen uwar garke yana nuna haka da remote-cert-tls client da takardar shaidarsa, kuma wannan ne ke hana karɓar takardar shaidar abokin ciniki a matsayin uwar garke. Binciken suna wata shawara ce dabam da binciken matsayi. Ku karanta tsarin da aka tura don ganin wace fili ake kwatantawa maimakon ɗaukan daidaiton sunan masauki irin na burauza. Ya kamata bangarorin biyu su fito fili game da wane mai bayarwa suka amince da shi, domin hanyar fayil ɗaya a cikin tawagar ba daidai take da manufa ɗaya ba.

Isar da takardun tsaka-tsaki ba tare da faɗaɗa amincewa ba

Bangarorin biyu ba dole ba su raba sarkar bayarwa ɗaya. Lokacin da abokin ya gabatar da takardar shaidar da wani tsaka-tsaki ya sa hannu, gefen mai tabbatarwa yana buƙatar wannan tsaka-tsakin a samu, kuma OpenVPN yana bambanta shigarwar ankar amincewa daga ƙarin takardun da ake amfani da su don kammala sarkar da aka gabatar a gida. Jagorar zaɓuɓɓukan TLS na OpenVPN 2.6 tana rubuta duka biyun.

CA tsaka-tsaki ba matsala ba ne a kansa, amma saiwar kamfani mai faɗi da aka jefa cikin kunshin amincewa ita ce matsala. Yayin da ankar ya ke faɗi, haka ƙarin takardu ke cin jarrabawar sarka, kuma binciken matsayi ba ya mai da hakan jerin ma'aikata masu izini. Ku ƙuntata ankar ga mai bayarwa wanda a zahiri ke sa hannu kan shaidun VPN inda matsayi ya yarda. Idan bai yarda ba, ku rubuta faɗin ankar a matsayin haɗari da aka yarda da shi da gangan maimakon barin shi a fakaice.

Ku amince da ƙungiyar PKI kan yadda sabuntawa da sokewa ke isa ga masu tabbatarwa na VPN, gami da waɗanne masu bayarwa suke da muhimmanci da wanda ke buga jerin. Wurin rarraba CRL da aka saka cikin takardar shaidar umarni ne, ba hujja ba ce cewa wani ya ɗauko shi.

Ku yanke shawara yadda sokewa ke zuwa a zahiri

crl-verify yana sa mai tabbatarwa ya tuntuɓi fayil ko ƙarshen, kuma wannan tsarin yana buƙatar mai shi da hanyar sabuntawa. Jerin da aka kwafa sau ɗaya lokacin turawa yana daina kare ku a hankali a lokacin farko da aka soke takardar shaidar.

Ku rubuta lokacin yaɗuwar da ake tsammani kuma ku gwada shi da takardar shaidar da kuke shirye ku soke. Idan ba za a iya sabunta jerin a mai masaukin VPN ba, madadin shine ɗan gajeren lokacin inganci tare da tsarin sabuntawa da ke gudana a zahiri, ba zato cewa sokewa yana aiki saboda akwai URL ba.

Ku tabbatar da karɓa da ainihin abokin ciniki

Ku haɗa abokin ciniki da ya kamata a bar shi kuma ku tabbatar da bayanan takardar shaidar da aka tattauna a cikin log ɗin. Sannan ku gwada shari'o'in da ya kamata su kasa: takardar shaidar abokin ciniki da aka gabatar a matsayin uwar garke, takardar shaidar daga mai bayarwa a wajen ankar amincewa, da sokayyiyar takardar shaidar idan kuna da ɗaya a ajiya.

Ku rubuta mai bayarwa da aka karɓa, binciken matsayi da tushen sokewa kusa da bayanin martaba. Wannan rikodin shine abin da injiniya na gaba ke buƙata lokacin da na'urar da ta yi aiki a watan da ya gabata ta daina haɗawa, kuma shaida ce cewa ana amfani da CA na kamfani cikin iyakar karɓa da aka rubuta ba a matsayin jibin amincewa na gama-gari ba.