Ձեզ պե՞տք է Easy-RSA OpenVPN-ի համար։ Կախված է նրանից, թե ով է տիրապետում CA-ին

Մի ձեռնարկ ասում է՝ նախքան OpenVPN տեղադրելը պետք է տեղադրել Easy-RSA, ուստի մարդիկ կարծում են, թե երկուսը մեկ փաթեթ են։ Այդպես չէ։ Easy-RSA-ն PKI կառավարման գործիք է, որը վարում է OpenSSL-ը, իսկ OpenVPN-ը թունելն է։ Մեկը որոշում է, թե ում վստահել, մյուսը տեղափոխում է փաթեթները։

Կարևոր համեմատությունը այն չէ, թե որ գործիքն է ավելի լավը։ Այն է, թե ձեր կազմակերպությունում ով է տիրապետում թողարկողին։

Ինչ է իրականում Easy-RSA-ն

Ծրագիրն իրեն նկարագրում է որպես X.509 PKI կառավարման գործիք, որտեղ գաղտնագրային աշխատանքը կատարում է OpenSSL-ը։ Դա նշանակում է, որ այն բանալիների ստեղծումը, վկայագրի հարցումները, ստորագրման քաղաքականությունը և չեղարկումը փաթաթում է կրկնվող թղթապանակային կառուցվածքի մեջ։ Այն գաղտնագրման շերտ չի ավելացնում արդեն կառուցված թունելին և RSA-ն ավելի ուժեղ չի դարձնում, քան նույն բանալին, որը ստեղծել է մեկ այլ իրավասու գործիք։ Ինչ որ անում է՝ աշխատահոսքը դարձնում է ստուգելի։

Դա իրական առավելություն է, բայց գործառնական, ոչ գաղտնագրային։

Հետևեք մեկ նոթբուքի գրանցման ընթացքին

Նոր նոթբուքը ստեղծում է իր բանալին և ուղարկում վկայագրի հարցում, ուստի մասնավոր բանալին երբեք չի լքում սարքը։ Այնուհետև թողարկողը ստորագրում է այդ հարցումը այնպիսի տիպով, որը ընտրում է հաճախորդի դերի համար ճիշտ ընդլայնումները։ Easy-RSA-ում դա ./easyrsa sign-req client laptop-a։

Օպերատորը դեռ պետք է որոշի, որ այս մարդը արժանի է մուտքի։ Ոչ մի ստորագրման գործիք իրավունք չի ածանցում ընդհանուր անունից։

Ստորագրված վկայագիրը վերադառնում է այն սարքին, որը պահում է համապատասխան բանալին, և VPN-ի տեղակայումը առանձին ապահովում է սերվերի վստահությունը, ինքնության ստուգումները, ցանցային քաղաքականությունը և հաշվի պահանջները։ Թողարկողի ելքային թղթապանակի ֆայլը դրանցից ոչինչ չի ապացուցում։ Միայն ավարտված ձեռքսեղմումն է դա անում։

Հետևեք նույն նոթբուքին դուրս գալիս

Հեռացումն այն տեղն է, որտեղ թողարկողի ընտրությունն իրոք երևում է։ Օգտագործելի աշխատահոսքը նույնականացնում է վկայագիրը, գրանցում չեղարկումը և արտադրում այն, ինչ վստահող համակարգերին պետք է այն մերժելու համար։ Easy-RSA-ն տարանջատում է ./easyrsa revoke laptop-a և ./easyrsa gen-crl քայլերը, և երկրորդ քայլն այն է, որը մարդիկ մոռանում են։ Թողարկողի վրա CRL ստեղծելը այն չի հասցնում ոչ մի VPN ստուգողի։

Տարածումը, վերբեռնման վարքը և այն, ինչ տեղի է ունենում արդեն հաստատված սեսիաների հետ, տեղակայման որոշումներ են, ոչ թե գործիքի հատկություններ։

Այդ ճեղքը գործնական փաստարկն է հաստատված աշխատահոսքի օգտին՝ ընդդեմ ad hoc openssl հրամանների կույտի։ Թողարկող վարելու դժվար մասը առաջին վկայագիրը չէ։ Դա թողարկման գրառումները, պահուստները, թարմացումները և հեռացումները համահունչ պահելն է, մինչ սարքերը գալիս ու գնում են։

Երբ թողարկողն արդեն գոյություն ունի

Եթե ձեր կազմակերպությունն արդեն վարում է հաստատված վկայագրային ծառայություն, գրանցվեք դրա միջոցով։ Երկրորդ CA կանգնեցնելը, քանի որ ձեռնարկը պարունակում էր Easy-RSA հրամաններ, ստեղծում է վստահության տարածման աշխատանք, պահուստավորման աշխատանք և ևս մեկ բան, որ պետք է ճիշտ չեղարկել։

Տեղական թողարկողը CA վարելու պարտավորություն է, ոչ թե նշիչ՝ տեղադրման ուղեցույցում։

Երբ Easy-RSA-ն ճիշտ ընտրություն է

Փոքր մասնավոր տեղակայման համար, որն իրոք կարիք ունի իր սեփական թողարկողին, Easy-RSA-ն տալիս է կենտրոնացված աշխատահոսք՝ առանց յուրաքանչյուր գործողություն ձեռքով հավաքելու։ Easy-RSA-ի բնօրինակ ուղեցույցը հերթականությամբ ընդգրկում է հարցման, ստորագրման, չեղարկման և CRL քայլերը։ Պահեք CA-ի ստորագրման նյութը իր նշանակված տիրոջ մոտ. հաճախորդներին պետք են սեփական հավատարմագրերը և համապատասխան հանրային վստահությունը, երբեք՝ ստորագրման բանալիի պատճեն։

PIN-ի վրա հիմնված OpenVPN ձևավորումը վստահության մեկ այլ օրինական կարգավորում է, ոչ թե վերանորոգման սպասող կոտրված PKI։ Եվ հաշիվ մուտքագրելը չի վերացնում սերվերը ձեր ընտրած արձանագրությամբ նույնականացնելու անհրաժեշտությունը։

Պատասխանեք չորս հարցի նախքան ընտրելը. ով է հաստատում նոր ինքնությունը, որտեղ է ապրում նրա մասնավոր բանալին, ինչպես է վկայագիրը հասնում հաճախորդին և ինչպես է թոշակի անցած ինքնությունը դադարում ընդունվել։