האם צריך Easy-RSA עבור OpenVPN? תלוי במי מחזיק ב־CA

מדריך אומר להתקין Easy-RSA לפני שמגדירים OpenVPN, ולכן אנשים מניחים ששני הדברים באים יחד. הם לא. Easy-RSA הוא כלי ניהול PKI שמפעיל את OpenSSL; OpenVPN הוא המנהרה. האחד מחליט במי לבטוח, האחר מעביר מנות.

ההשוואה שחשובה אינה איזה כלי טוב יותר. אלא מי מחזיק במוציא לאור בארגון שלכם.

מהו Easy-RSA באמת

הפרויקט מתאר את עצמו ככלי ניהול PKI מסוג X.509, כאשר OpenSSL עושה את העבודה הקריפטוגרפית. זה אומר שהוא עוטף יצירת מפתחות, בקשות תעודה, מדיניות חתימה וביטול במבנה תיקיות שניתן לחזור עליו. הוא לא מוסיף שכבת הצפנה למנהרה קיימת, והוא לא הופך את RSA לחזק יותר מאותו מפתח שכלי מוסמך אחר הפיק. מה שהוא כן עושה הוא להפוך את זרימת העבודה לניתנת לביקורת.

זה יתרון אמיתי, אבל יתרון תפעולי ולא קריפטוגרפי.

עקבו אחרי מחשב נייד אחד בתהליך הרישום

מחשב נייד חדש מייצר מפתח משלו ומגיש בקשת תעודה, כך ש המפתח הפרטי לא עוזב את המכשיר לעולם. המוציא לאור חותם על הבקשה עם סוג שבוחר את ההרחבות הנכונות לתפקיד לקוח. ב־Easy-RSA זה ./easyrsa sign-req client laptop-a.

המפעיל עדיין צריך להחליט שהאדם הזה ראוי לגישה. שום כלי חתימה לא מסיק הרשאה משם נפוץ.

התעודה החתומה חוזרת אל המכשיר שמחזיק במפתח המתאים, ופריסת ה־VPN מספקת בנפרד אמון בשרת, בדיקות זהות, מדיניות רשת ודרישות חשבון. קובץ בתיקיית הפלט של המוציא לאור לא מוכיח דבר מזה. רק לחיצת יד שהושלמה עושה זאת.

עקבו אחרי אותו מחשב נייד ביציאה

ההסרה היא המקום שבו בחירת המוציא לאור באמת נראית. זרימת עבודה שמישה מזהה את התעודה, רושמת את הביטול ומפיקה את מה שמערכות נשענות צריכות כדי לדחות אותה. Easy-RSA מפריד בין ./easyrsa revoke laptop-a ל ./easyrsa gen-crl, והשלב השני הוא זה שאנשים שוכחים. הפקת CRL אצל המוציא לאור לא מוסרת אותה לאף מאמת VPN.

הפצה, התנהגות טעינה מחדש ומה קורה לסשנים שכבר הוקמו הם החלטות פריסה, לא תכונות של כלי.

הפער הזה הוא הטיעון המעשי בעד זרימת עבודה מבוססת על פני ערימת פקודות openssl אד־הוק. החלק הקשה בהפעלת מוציא לאור אינו התעודה הראשונה. אלא לשמור על עקביות רשומות הנפקה, גיבויים, חידושים והסרות כשמכשירים באים והולכים.

כאשר מוציא לאור כבר קיים

אם הארגון שלכם כבר מפעיל שירות תעודות מאושר, הירשמו דרכו. הקמת CA שני מפני שמדריך כלל פקודות Easy-RSA יוצרת עבודת הפצת אמון, עבודת גיבוי ועוד דבר אחד שצריך לבטל נכון.

מוציא לאור מקומי הוא התחייבות להפעיל CA, לא תיבת סימון במדריך התקנה.

מתי Easy-RSA הוא הבחירה הנכונה

עבור פריסה פרטית קטנה שזקוקה באמת למוציא לאור משלה, Easy-RSA נותן זרימת עבודה ממוקדת בלי להרכיב כל פעולה ביד. מדריך Easy-RSA המקורי מכסה את שלבי הבקשה, החתימה, הביטול וה־CRL לפי הסדר. שמרו את חומר החתימה של ה־CA אצל הבעלים המיועד שלו; לקוחות צריכים את האישורים שלהם ואת האמון הציבורי הרלוונטי, לעולם לא עותק של מפתח החתימה.

עיצוב OpenVPN מבוסס PIN הוא הסדר אמון לגיטימי אחר, לא PKI שבור שמחכה לתיקון. וכניסה לחשבון לא מבטלת את הצורך לאמת את השרת תחת איזה פרוטוקול שתבחרו.

ענו על ארבע שאלות לפני הבחירה: מי מאשר זהות חדשה, היכן חי המפתח הפרטי שלה, איך התעודה מגיעה ללקוח, וכיצד זהות שפרשה מפסיקה להתקבל.