Gunakan CA perusahaan Anda yang sudah ada untuk peer OpenVPN

Tidak ada apa pun di OpenVPN yang mewajibkan sertifikat berasal dari Easy-RSA, dan armada yang sudah memiliki PKI organisasi biasanya tidak perlu membangun yang kedua. Pekerjaan sebenarnya bukan memilih alat, melainkan memutuskan apa arti identitas yang diterbitkan, peer mana yang diterima terowongan, dan bagaimana pembaruan serta pencabutan tiba di verifikator. Jalani lima langkah di bawah ini secara berurutan, karena langkah berikutnya tidak dapat memperbaiki keputusan peran yang diambil pada langkah pertama.

Terbitkan dua peran alih-alih satu identitas bersama

Setiap peer memerlukan sertifikatnya sendiri dan kunci privat yang sesuai. Mintalah tim PKI membuat identitas server dengan penggunaan server dan identitas klien terpisah dengan penggunaan klien, agar terowongan dapat membedakan keduanya saat jabat tangan.

Lawan jalan pintas yang muncul di bawah tekanan tenggat. Kunci server web yang disalin ke laptop menghapus pembedaan yang menjadi dasar pemeriksaan peran, dan kunci penandatanganan CA yang dipasang di titik akhir VPN mengubah satu host yang disusupi menjadi hierarki yang disusupi. Bundel PKCS12 dapat membawa kunci titik akhir dan rantainya, tetapi tidak pernah memberikan izin untuk menggunakan kembali identitas itu di peran lain.

Sambungkan input kepercayaan di setiap sisi

Klien dan server masing-masing memerlukan jangkar kepercayaan, identitasnya sendiri, dan harapan peran yang eksplisit. Fragmen klien yang menyebutkan ketiganya terlihat seperti ini.

client
ca /etc/openvpn/pki/issuing-root.pem
cert /etc/openvpn/pki/device-17.crt
key /etc/openvpn/pki/device-17.key
remote-cert-tls server
verify-x509-name vpn.corp.example name
crl-verify /etc/openvpn/pki/issuing.crl

Sisi server mencerminkannya dengan remote-cert-tls client dan sertifikatnya sendiri, dan itulah yang mencegah sertifikat klien diterima sebagai server. Pemeriksaan nama adalah keputusan terpisah dari pemeriksaan peran. Baca konfigurasi yang diterapkan untuk melihat bidang mana yang dibandingkan alih-alih mengasumsikan kecocokan nama host ala peramban. Kedua sisi juga harus eksplisit tentang penerbit mana yang mereka percayai, karena jalur berkas bersama di seluruh armada bukan hal yang sama dengan kebijakan bersama.

Kirimkan sertifikat perantara tanpa memperluas kepercayaan

Kedua sisi tidak harus berbagi satu rantai penerbitan. Ketika peer menyajikan sertifikat yang ditandatangani oleh perantara, sisi yang memverifikasi memerlukan perantara itu tersedia, dan OpenVPN membedakan input jangkar kepercayaan dari sertifikat tambahan yang digunakan untuk melengkapi rantai yang disajikan secara lokal. Referensi opsi TLS OpenVPN 2.6 mendokumentasikan keduanya.

CA perantara bukanlah masalah pada dirinya sendiri, tetapi akar perusahaan yang luas yang dilempar ke bundel kepercayaan adalah masalah. Semakin lebar jangkar, semakin banyak sertifikat lolos uji rantai, dan pemeriksaan peran tidak mengubahnya menjadi daftar staf yang berwenang. Sempitkan jangkar ke penerbit yang benar-benar menandatangani identitas VPN di tempat hierarki mengizinkannya. Jika tidak mengizinkan, dokumentasikan jangkar yang lebih lebar sebagai risiko yang sengaja diterima alih-alih membiarkannya implisit.

Sepakati dengan tim PKI bagaimana pembaruan dan pencabutan tiba di verifikator VPN, termasuk penerbit mana yang penting dan siapa yang menerbitkan daftarnya. Titik distribusi CRL yang tertanam dalam sertifikat adalah instruksi, bukan bukti bahwa sesuatu telah mengambilnya.

Putuskan bagaimana pencabutan benar-benar tiba

crl-verify membuat verifikator menanyakan berkas atau titik akhir, dan pengaturan itu memerlukan pemilik dan jalur penyegaran. Daftar yang disalin sekali selama penerapan diam-diam berhenti melindungi Anda saat sertifikat pertama kali dicabut.

Catat waktu penyebaran yang diharapkan dan ujilah dengan sertifikat yang bersedia Anda cabut. Jika daftar tidak dapat disegarkan pada host VPN, alternatifnya adalah masa berlaku yang lebih pendek ditambah proses pembaruan yang benar-benar berjalan, bukan asumsi bahwa pencabutan berfungsi karena ada URL.

Buktikan penerimaan dengan klien sungguhan

Hubungkan klien yang seharusnya diizinkan dan konfirmasikan detail sertifikat yang dinegosiasikan di log. Lalu coba kasus yang harus gagal: sertifikat klien yang disajikan sebagai server, sertifikat dari penerbit di luar jangkar kepercayaan, dan sertifikat yang dicabut jika Anda punya satu sisa.

Catat penerbit yang diterima, pemeriksaan peran, dan sumber pencabutan di samping profil. Catatan itulah yang dibutuhkan insinyur berikutnya ketika perangkat yang berfungsi bulan lalu berhenti terhubung, dan itu juga bukti bahwa CA perusahaan digunakan dalam batas penerimaan yang terdokumentasi alih-alih sebagai tempat pembuangan kepercayaan serba guna.