क्या OpenVPN के लिए Easy-RSA चाहिए? यह इस पर निर्भर है कि CA किसके पास है

एक ट्यूटोरियल कहता है कि OpenVPN सेट करने से पहले Easy-RSA इंस्टॉल करें, इसलिए लोग मान लेते हैं कि दोनों एक ही पैकेज हैं। ऐसा नहीं है। Easy-RSA एक PKI प्रबंधन उपयोगिता है जो OpenSSL चलाती है; OpenVPN सुरंग है। एक तय करता है कि किस पर भरोसा किया जाए, दूसरा पैकेट ले जाता है।

मायने रखने वाली तुलना यह नहीं है कि कौन-सा उपकरण बेहतर है। यह है कि आपके संगठन में जारीकर्ता किसके पास है।

Easy-RSA वास्तव में क्या है

यह परियोजना स्वयं को X.509 PKI प्रबंधन उपयोगिता बताती है, जिसमें क्रिप्टोग्राफ़िक काम OpenSSL करता है। इसका अर्थ है कि यह कुंजी निर्माण, प्रमाणपत्र अनुरोध, हस्ताक्षर नीति और निरसन को दोहराने योग्य निर्देशिका संरचना में लपेटती है। यह किसी स्थापित सुरंग में एन्क्रिप्शन की परत नहीं जोड़ती, और RSA को किसी अन्य सक्षम उपकरण द्वारा बनाई गई उसी कुंजी से अधिक मज़बूत नहीं बनाती। यह जो करती है वह कार्यप्रवाह को ऑडिट-योग्य बनाना है।

यह वास्तविक लाभ है, परंतु परिचालनगत लाभ है, क्रिप्टोग्राफ़िक नहीं।

एक लैपटॉप को नामांकन के दौर से देखें

नया लैपटॉप अपनी कुंजी बनाता है और प्रमाणपत्र अनुरोध भेजता है, इसलिए निजी कुंजी कभी डिवाइस नहीं छोड़ती। फिर जारीकर्ता उस अनुरोध पर ऐसे प्रकार से हस्ताक्षर करता है जो क्लाइंट भूमिका के लिए सही एक्सटेंशन चुनता है। Easy-RSA में यह है ./easyrsa sign-req client laptop-a।

ऑपरेटर को फिर भी तय करना होता है कि यह व्यक्ति पहुँच का हकदार है। कोई हस्ताक्षर उपकरण सामान्य नाम से अधिकार नहीं निकालता।

हस्ताक्षरित प्रमाणपत्र वापस जाता है उस डिवाइस पर जो मेल खाती कुंजी रखता है, और VPN परिनियोजन अलग से सर्वर भरोसा, पहचान जाँच, नेटवर्क नीति और खाता आवश्यकताएँ प्रदान करता है। जारीकर्ता की आउटपुट निर्देशिका में रखी फ़ाइल इनमें से कुछ भी सिद्ध नहीं करती। केवल पूर्ण हुआ हैंडशेक यह करता है।

उसी लैपटॉप को बाहर जाते हुए देखें

हटाने में ही जारीकर्ता का चयन वास्तव में दिखता है। उपयोगी कार्यप्रवाह प्रमाणपत्र की पहचान करता है, निरसन दर्ज करता है और वह उत्पन्न करता है जो भरोसा रखने वाले तंत्रों को उसे अस्वीकार करने के लिए चाहिए। Easy-RSA अंतर करता है ./easyrsa revoke laptop-a और ./easyrsa gen-crl के बीच, और दूसरा चरण वही है जो लोग भूल जाते हैं। जारीकर्ता पर CRL बनाना उसे किसी भी VPN सत्यापनकर्ता तक नहीं पहुँचाता।

वितरण, पुनः लोड का व्यवहार और पहले से स्थापित सत्रों का क्या होता है, ये परिनियोजन निर्णय हैं, उपकरण की विशेषताएँ नहीं।

यही अंतराल स्थापित कार्यप्रवाह के पक्ष में व्यावहारिक तर्क है, बिखरे हुए openssl आदेशों के ढेर के मुकाबले। जारीकर्ता चलाने का कठिन हिस्सा पहला प्रमाणपत्र नहीं है। डिवाइस आने-जाने के बीच जारी रिकॉर्ड, बैकअप, नवीनीकरण और हटाने को सुसंगत रखना है।

जब जारीकर्ता पहले से मौजूद हो

यदि आपका संगठन पहले से स्वीकृत प्रमाणपत्र सेवा चलाता है, तो उसी के माध्यम से नामांकन करें। किसी ट्यूटोरियल में Easy-RSA आदेश होने के कारण दूसरा CA खड़ा करना भरोसा वितरण का काम, बैकअप का काम और सही ढंग से निरस्त करने योग्य दूसरी चीज़ पैदा करता है।

स्थानीय जारीकर्ता CA चलाने की प्रतिबद्धता है, सेटअप गाइड में एक चेकबॉक्स नहीं।

कब Easy-RSA सही निर्णय है

ऐसे छोटे निजी परिनियोजन के लिए जिसे सचमुच अपना जारीकर्ता चाहिए, Easy-RSA हर क्रिया को हाथ से जोड़े बिना केंद्रित कार्यप्रवाह देता है। मूल Easy-RSA गाइड अनुरोध, हस्ताक्षर, निरसन और CRL के चरणों को क्रम से समझता है। CA की हस्ताक्षर सामग्री उसके निर्धारित स्वामी के पास रखें; क्लाइंट को अपने क्रेडेंशियल और प्रासंगिक सार्वजनिक भरोसा चाहिए, हस्ताक्षर कुंजी की प्रति कभी नहीं।

PIN आधारित OpenVPN डिज़ाइन एक और वैध भरोसा व्यवस्था है, मरम्मत की प्रतीक्षा करती टूटी PKI नहीं। और खाता लॉगिन आपके चुने किसी भी प्रोटोकॉल के अंतर्गत सर्वर प्रमाणित करने की आवश्यकता नहीं हटाता।

चुनने से पहले चार प्रश्नों के उत्तर दें: नई पहचान कौन स्वीकृत करता है, उसकी निजी कुंजी कहाँ रहती है, प्रमाणपत्र क्लाइंट तक कैसे पहुँचता है, और सेवानिवृत्त पहचान कैसे स्वीकार्य होना बंद करती है।