Ավելացնել VPN հաճախորդ առանց CA-ի վերակառուցման

Ձեզ պետք է ևս մեկ վկայագիր ևս մեկ նոութբուքի համար, բայց որոնման արդյունքների առաջին ձեռնարկը սկսվում է հրամանով, որը ջնջում է PKI պանակը։ Այդ հրամանը վերաբերում է առաջին տեղադրմանը, ոչ գրանցմանը, և այն գործարկելը խլում է CA-ն, թողարկումների պատմությունը և բոլոր հաճախորդային պրոֆիլները, որոնք վստահում էին հին թողարկողին։ Որոշումը նեղ է՝ արդյո՞ք թողարկողն ունի դեռ օգտագործելի վիճակ, և արդյո՞ք նոր սարքը համապատասխանում է ձեր գրանցման քաղաքականությանը։ Երեք պայման է որոշում, և միայն մեկն է արդարացնում վերակառուցումը։

Ինչ է իրականում ոչնչացնում վերակառուցումը

PKI-ի վերագործարկումը պանակը փոխարինում է դատարկ կառուցվածքով՝ նոր CA բանալի և վկայագիր, դատարկ թողարկման տվյալների բազա, նոր հերթական համարի հաշվիչ։ Հաճախորդները ինքնուրույն չեն հետևում․ նրանց պրոֆիլները ամրացնում են հին CA-ն, ուստի յուրաքանչյուր սարք պետք է նորից գրանցվի, իսկ անհասանելիները՝ ձեռքով։

Ավելի հանգիստ կորուստը հաշվառումն է։ Չեղարկումը կախված է նրանից, որ գիտեք, թե որ հերթական համարներն ում եք տրամադրել։ Ջնջեք ինդեքսը և դեռ կարող եք ստորագրել, բայց չեք կարող վստահորեն ասել, թե տրված վկայագրերից որոնք էիք ուզում չեղարկել։ CA պանակը՝ առանց համապատասխան թողարկողի վիճակի վկայագրերով, պահուստ է, որը վերականգնում է համակարգի սխալ կեսը։

CA-ի մասնավոր բանալին աշխատող սերվերի կողքին պատճենելը մյուս կարճ ճանապարհն է, որից պետք է հրաժարվել․ այն ցանցից դուրս մնալու ստորագրող մարմինը դարձնում է ևս մեկ ֆայլ անվստահելի երթևեկությամբ հոսթի վրա։

Առաջին պայման․ թողարկողի վիճակը դեռ հասանելի՞ է

Որոշելուց առաջ գտեք այն պանակը, որին սերվերը իսկապես վստահում է։ Համեմատեք սերվերի՝ որպես CA ներկայացրած վկայագիրը ձեր PKI պանակի հետ մատնահետքով, ոչ ֆայլի անունով․

openssl x509 -in ca.crt -noout -fingerprint -sha256
openssl x509 -in /etc/openvpn/ca.crt -noout -fingerprint -sha256

Եթե մատնահետքերը համընկնում են, գրանցումը ավելացնող է և ոչինչ չպետք է վերակառուցել։ Եթե տարբերվում են, դուք ստորագրում եք CA-ով, որին սերվերը չի վստահում․ վկայագիրը մաքուր տեղադրվում է և ձախողվում ձեռքսեղմման պահին, և այդ սխալը ժամերով սխալմամբ համարվում է հաճախորդի թերություն։

Այնուհետև փնտրեք թողարկման վիճակը․ ինդեքս ֆայլը, հերթական համարի հաշվիչը և CRL համարի ֆայլը։ Եթե ինդեքսը գնացել է, բայց բանալին մնացել, կարող եք թողարկել, սակայն ժառանգում եք չեղարկումների գրանցման խնդիր։ Նշեք դա փոփոխությունների գրանցամատյանում, քանի որ հաջորդ չեղարկման հայտը կբացահայտի այն։

Երկրորդ պայման․ ո՞ւմ մոտ է նոր մասնավոր բանալին

Սա այն որոշումն է, որ զգում են օգտվողները, ուստի կայացրեք այն բացահայտ։ Հաճախորդում ստեղծված և հայտի տեսքով ներկայացված բանալին մասնավոր կեսը թողնում է սարքում առաջին հրամանից, և ադմինիստրատորը երբեք չի դիպչում դրան։ Սերվերում ստեղծված բանալին ավելի հեշտ է գործիքներ չունեցող սարքերի համար, բայց ադմինիստրատորին դարձնում է բոլոր բանալիների պահապան և ընդլայնում սերվերի խախտման ազդեցությունը։

Գոյություն ունեցող CA-ի դեմ Easy-RSA 3-ով հայտի ներմուծումն ու ստորագրումը երկու հրաման են․

./easyrsa import-req /tmp/alice.req alice
./easyrsa sign-req client alice

Ընտրեք վկայագրի տեսակը գիտակցաբար։ Հաճախորդի փոխարեն որպես սերվերի վկայագիր ստորագրված հայտը տալիս է ֆայլ, որը լավ տեսք ունի և մերժվում է գործընկերոջ կողմից, և սխալի հաղորդագրությունը հազվադեպ է ասում ինչու։ openssl ca-ով ստորագրելիս նույն ընտրությունը ձեր փոխանցած ընդլայնումների մեջ է, ոչ լռելյայն բաժնում։

Երրորդ պայման․ սերվերին ավելի՞ն է պետք, քան վկայագիրը

Վկայագրով նույնականացում ունեցող սովորական OpenVPN սերվերի համար վկայագիրն ինքն է գրանցումը․ ընդհանուր անունը դառնում է հաճախորդի ինքնությունը, և ցանկացած պանակ, մղված երթուղի կամ ստատիկ հասցե կախված է այդ անունից։ Ավելացրեք վկայագիրը և մոռացեք կարգավորումը․ թունելը միանում է, բայց անհրաժեշտ երթուղիները երբեք չեն հայտնվում։

Հարթակները փոխում են սա։ OpenVPN Access Server-ն ունի իր օգտվողների բազան, ուստի ստորագրված վկայագիրը հաշիվ չէ․ հաշիվը պետք է գոյություն ունենա և թույլատրված լինի։ Այլ դարպասները ինքնության տողը կապում են խմբի։ Մեկ սարքի գրանցումը սովորաբար դիպչում է երկու համակարգի, և վկայագիրը միայն առաջինն է։

Ավելացնող ընթացակարգը և երբ է վերակառուցումը ճիշտ

Առանց վնասի մեկ սարք ավելացնող հաջորդականությունը․ հաստատեք թողարկողին մատնահետքով, վերցրեք PKI պանակի թարմ պահուստ, ներմուծեք և ստորագրեք հայտը հաճախորդի դերի համար, հանձնեք վկայագիրը շղթայով հաստատված ուղիով, ապա ստուգեք մինչև օգտվողի միանալը․

openssl verify -CAfile ca.crt alice.crt
openssl x509 -in alice.crt -noout -subject -issuer -dates -purpose

Նպատակի տողը պետք է ցույց տա SSL client։ Ավարտեք CA-ի պահուստի թարմացմամբ թողարկումից հետո, քանի որ նոր հերթական համարը գրանցելուց առաջ վերցված պահուստը վերականգնում է վիճակ առանց հենց նոր ավելացրած սարքի։

Վերակառուցումը ճիշտ է երեք դեպքում․ CA բանալին խախտվել է, թողարկման վիճակը անվերականգնելիորեն կորել է, կամ դուք գիտակցաբար փոխում եք բանալու ալգորիթմը կամ վկայագրի քաղաքականությունը։ Երեքն էլ նախագծեր են՝ յուրաքանչյուր հաճախորդի վերագրանցման պլանով, ոչ մեկ սարքի հայտի քայլեր։ Եթե ոչ մեկը չի կիրառվում, գրանցեք ավելացնող կարգով։