Menambahkan klien VPN tanpa membangun ulang CA

Anda perlu satu sertifikat lagi untuk satu laptop lagi, tetapi tutorial pertama di hasil pencarian dimulai dengan perintah yang menghapus direktori PKI. Perintah itu milik penyiapan awal, bukan pendaftaran, dan menjalankannya menghabiskan CA, riwayat penerbitan, serta setiap profil klien yang memercayai penerbit lama. Keputusannya lebih sempit: apakah penerbit Anda masih punya status yang bisa dipakai, dan apakah perangkat baru cocok dengan kebijakan pendaftaran Anda? Tiga syarat menentukan, hanya satu membenarkan pembangunan ulang.

Apa yang sebenarnya dihancurkan pembangunan ulang

Inisialisasi ulang PKI mengganti direktori dengan struktur kosong: kunci dan sertifikat CA baru, basis data penerbitan kosong, penghitung seri baru. Klien tidak mengikuti sendiri; profilnya menyematkan CA lama, jadi setiap perangkat harus mendaftar ulang, dan yang tak terjangkau secara manual.

Kerugian yang lebih senyap adalah pembukuan. Pencabutan bergantung pada mengetahui nomor seri mana yang Anda terbitkan dan kepada siapa. Hapus indeks dan Anda masih bisa menandatangani, tetapi tidak bisa memastikan sertifikat mana yang ingin dicabut. Direktori CA berisi sertifikat tanpa status penerbit yang cocok adalah cadangan yang memulihkan separuh sistem yang salah.

Menyalin kunci privat CA di samping server yang berjalan adalah jalan pintas lain yang sebaiknya ditolak: itu mengubah otoritas penandatanganan yang seharusnya di luar jaringan menjadi berkas lain di host dengan lalu lintas tak tepercaya.

Syarat pertama: apakah status penerbit masih terjangkau?

Temukan direktori yang benar-benar dipercaya server sebelum memutuskan. Bandingkan sertifikat yang disajikan server sebagai CA dengan yang ada di direktori PKI lewat sidik jari, bukan nama berkas:

openssl x509 -in ca.crt -noout -fingerprint -sha256
openssl x509 -in /etc/openvpn/ca.crt -noout -fingerprint -sha256

Jika sidik jari cocok, pendaftaran bersifat bertahap dan Anda tidak perlu membangun ulang. Jika berbeda, Anda menandatangani dengan CA yang tidak dipercaya server: sertifikat terpasang bersih dan gagal saat handshake, dan kesalahan itu salah didiagnosis sebagai bug klien selama berjam-jam.

Lalu cari status penerbitan: berkas indeks, penghitung seri, dan berkas nomor CRL. Jika indeks hilang tetapi kunci bertahan, Anda masih bisa menerbitkan, tetapi mewarisi masalah pencatatan pencabutan. Catat di log perubahan, karena permintaan pencabutan berikutnya akan menunjukkannya.

Syarat kedua: siapa memegang kunci privat baru?

Ini keputusan yang dirasakan pengguna, jadi putuskan secara eksplisit. Kunci yang dibuat klien dan dikirim sebagai permintaan menyimpan bagian privat di perangkat sejak perintah pertama, dan administrator tidak pernah menyentuhnya. Kunci yang dibuat server lebih mudah bagi perangkat tanpa alat, tetapi menjadikan administrator penjaga setiap kunci dan memperluas dampak kompromi server.

Dengan Easy-RSA 3 terhadap CA yang ada, mengimpor dan menandatangani permintaan adalah dua perintah:

./easyrsa import-req /tmp/alice.req alice
./easyrsa sign-req client alice

Pilih jenis sertifikat dengan sengaja. Permintaan yang ditandatangani sebagai sertifikat server alih-alih klien menghasilkan berkas yang tampak benar dan ditolak oleh mitra, dan pesan galat jarang menjelaskan sebabnya. Dengan openssl ca, pilihan yang sama ada di ekstensi yang Anda berikan, bukan di bagian bawaan.

Syarat ketiga: apakah server butuh lebih dari sertifikat?

Untuk OpenVPN biasa dengan autentikasi sertifikat, sertifikat itulah pendaftarannya: nama umum menjadi identitas klien, dan setiap direktori, rute yang didorong, atau alamat statis bergantung pada nama itu. Tambahkan sertifikat dan lupakan konfigurasi, terowongan tersambung tetapi rute yang dibutuhkan tidak pernah muncul.

Platform mengubah ini. OpenVPN Access Server menyimpan basis data penggunanya sendiri, jadi sertifikat bertanda tangan bukan akun; akun harus ada dan diizinkan. Gateway lain memetakan rangkaian identitas ke grup. Mendaftarkan satu perangkat biasanya menyentuh dua sistem, dan sertifikat hanya yang pertama.

Prosedur bertahap dan kapan pembangunan ulang tepat

Urutan yang menambah satu perangkat tanpa kerusakan: konfirmasi penerbit lewat sidik jari, ambil cadangan baru direktori PKI, impor dan tandatangani permintaan untuk peran klien, serahkan sertifikat dengan rantainya lewat saluran yang disetujui, lalu verifikasi sebelum pengguna tersambung:

openssl verify -CAfile ca.crt alice.crt
openssl x509 -in alice.crt -noout -subject -issuer -dates -purpose

Baris tujuan harus menampilkan SSL client. Akhiri dengan memperbarui cadangan CA setelah penerbitan, karena cadangan yang diambil sebelum nomor seri baru dicatat memulihkan status tanpa perangkat yang baru saja Anda tambahkan.

Pembangunan ulang tepat dalam tiga situasi: kunci CA dikompromikan, status penerbitan hilang tanpa harapan, atau Anda sengaja mengganti algoritma kunci atau kebijakan sertifikat. Ketiganya proyek dengan rencana pendaftaran ulang untuk setiap klien, bukan langkah dalam permintaan satu perangkat. Jika tidak ada yang berlaku, daftarkan secara bertahap.