Dodavanje VPN klijenta bez ponovne izgradnje CA

Treba vam još jedan certifikat za još jedno prijenosno računalo, ali prvi vodič u rezultatima pretrage počinje naredbom koja briše PKI direktorij. Ta naredba pripada prvom postavljanju, ne upisu, i njezino pokretanje stoji vas CA, povijest izdavanja i svaki klijentski profil koji je vjerovao starom izdavatelju. Odluka je uža: ima li vaš izdavatelj još upotrebljivo stanje i uklapa li se novi uređaj u politiku upisa koju već vodite? Tri uvjeta odlučuju, a samo jedan opravdava ponovnu izgradnju.

Što ponovna izgradnja stvarno uništava

Ponovno pokretanje PKI-a zamjenjuje direktorij praznom strukturom: novi CA ključ i certifikat, prazna baza izdavanja, novi brojač serija. Klijenti ne slijede sami; njihovi profili prikvače stari CA, pa se svaki uređaj mora ponovno upisati, a nedostupni ručno.

Tiši gubitak je evidencija. Opoziv ovisi o tome znate li koje ste serijske brojeve kome izdali. Obrišite indeks i još možete potpisivati, ali ne možete sa sigurnošću reći koje ste od preostalih certifikata htjeli opozvati. CA direktorij s certifikatima bez odgovarajućeg stanja izdavatelja je sigurnosna kopija koja vraća pogrešnu polovicu sustava.

Kopiranje privatnog ključa CA uz poslužitelj koji radi drugi je prečac koji treba odbiti: pretvara tijelo potpisa koje mora stajati izvan mreže u još jednu datoteku na hostu s nepouzdanim prometom.

Prvi uvjet: je li stanje izdavatelja još dostupno?

Prije odluke pronađite direktorij kojem poslužitelj doista vjeruje. Usporedite certifikat koji poslužitelj predstavlja kao CA s onim u PKI direktoriju po otisku, ne po imenu datoteke:

openssl x509 -in ca.crt -noout -fingerprint -sha256
openssl x509 -in /etc/openvpn/ca.crt -noout -fingerprint -sha256

Ako se otisci podudaraju, upis je inkrementalan i ništa ne gradite ponovno. Ako se razlikuju, potpisujete CA kojem poslužitelj ne vjeruje: certifikat se čisto instalira i pada na rukovanju, a ta se pogreška satima pogrešno pripisuje klijentu.

Zatim potražite stanje izdavanja: indeks, brojač serija i datoteku broja CRL. Ako indeksa nema, a ključ postoji, možete izdavati, ali nasljeđujete problem evidentiranja opoziva. Zapišite to u zapis promjena, jer će ga sljedeći zahtjev za opoziv otkriti.

Drugi uvjet: tko drži novi privatni ključ?

Tu odluku korisnici osjete, pa je donesite izričito. Ključ koji generira klijent i preda kao zahtjev zadržava privatnu polovicu na uređaju od prve naredbe i administrator je nikad ne dira. Ključ generiran na poslužitelju lakši je za uređaje bez alata, ali administratora čini čuvarom svakog ključa i širi posljedice kompromitacije poslužitelja.

Uz Easy-RSA 3 prema postojećem CA, uvoz i potpis zahtjeva dvije su naredbe:

./easyrsa import-req /tmp/alice.req alice
./easyrsa sign-req client alice

Odaberite tip certifikata namjerno. Zahtjev potpisan kao poslužiteljski umjesto klijentskog certifikata daje datoteku koja izgleda dobro i koju partner odbija, a poruka o pogrešci rijetko kaže zašto. Uz openssl ca isti izbor živi u proširenjima koja proslijedite, ne u zadanom odjeljku.

Treći uvjet: treba li poslužitelju više od certifikata?

Za običan OpenVPN poslužitelj s autentifikacijom certifikatom, certifikat jest upis: zajedničko ime postaje identitet klijenta, a direktorij, gurnuta ruta ili statična adresa vezani su uz to ime. Dodajte certifikat i zaboravite konfiguraciju, tunel se poveže ali potrebne rute se ne pojave.

Platforme to mijenjaju. OpenVPN Access Server drži vlastitu bazu korisnika, pa potpisani certifikat nije račun; račun mora postojati i biti dopušten. Drugi pristupnici vežu identitet uz grupu. Upis jednog uređaja obično dira dva sustava, a certifikat je samo prvi.

Inkrementalni postupak i kada je ponovna izgradnja ispravna

Slijed koji dodaje jedan uređaj bez štete: potvrdite izdavatelja po otisku, uzmite svježu kopiju PKI direktorija, uvezite i potpišite zahtjev za klijentsku ulogu, predajte certifikat s lancem kroz odobreni kanal, pa provjerite prije povezivanja:

openssl verify -CAfile ca.crt alice.crt
openssl x509 -in alice.crt -noout -subject -issuer -dates -purpose

Redak namjene treba pokazati SSL client. Završite ažuriranjem kopije CA nakon izdavanja, jer kopija nastala prije upisa nove serije vraća stanje bez uređaja koji ste upravo dodali.

Ponovna izgradnja ispravna je u tri slučaja: ključ CA je kompromitiran, stanje izdavanja nepovratno je izgubljeno ili namjerno mijenjate algoritam ključa ili politiku certifikata. Sva tri su projekti s planom ponovnog upisa svakog klijenta, ne koraci u zahtjevu za jedan uređaj. Ako ništa ne vrijedi, upišite inkrementalno i ostavite izdavatelja na miru.