Þarftu Easy-RSA fyrir OpenVPN? Það fer eftir því hver á CA

Kennsluefni segir að setja skuli upp Easy-RSA áður en OpenVPN er sett upp, svo fólk gerir ráð fyrir að þau tvö fylgist að. Þau gera það ekki. Easy-RSA er PKI-stjórntól sem knýr OpenSSL; OpenVPN er göngin. Annað ákveður hverjum á að treysta, hitt flytur pakkana.

Samanburðurinn sem skiptir máli er ekki hvor tólið er betri. Heldur hver á útgefandann í stofnuninni þinni.

Hvað Easy-RSA er í raun

Verkefnið lýsir sér sem PKI-stjórntóli fyrir X.509, þar sem OpenSSL vinnur dulritunarstörfin. Það þýðir að það vefur lyklagerð, skírteinisbeiðnir, undirskriftarstefnu og afturköllun í endurtakanlegt möppuskipulag. Það bætir ekki dulkóðunarlagi við göng sem þegar eru til og gerir RSA ekki sterkara en sami lykillinn sem annað hæft tól framleiðir. Það sem það gerir er að gera vinnuflæðið endurskoðanlegt.

Það er raunverulegur ávinningur, en rekstrarlegur frekar en dulritunarlegur.

Fylgdu einni fartölvu í gegnum skráninguna

Ný fartölva býr til sinn eigin lykil og sendir skírteinisbeiðni, svo einkalykillinn yfirgefur tækið aldrei. Útgefandinn undirritar svo beiðnina með tegund sem velur réttar viðbætur fyrir hlutverk biðlara. Í Easy-RSA er það ./easyrsa sign-req client laptop-a.

Rekstraraðilinn verður samt að ákveða að þessi manneskja eigi skilið aðgang. Ekkert undirskriftartól leiðir réttindi af almennu nafni.

Undirritaða skírteinið fer aftur til tækisins sem geymir samsvarandi lykil, og uppsetning VPN-sins veitir sérstaklega traust á netþjóninum, auðkenningu, netstefnu og kröfur um reikning. Skrá í úttaksmöppu útgefandans sannar ekkert af þessu. Aðeins lokið handaband gerir það.

Fylgdu sömu fartölvu út

Það er við fjarlægingu sem val útgefanda kemur virkilega í ljós. Notanlegt vinnuflæði auðkennir skírteinið, skráir afturköllunina og framleiðir það sem kerfi sem treysta á það þurfa til að hafna því. Easy-RSA aðskilur ./easyrsa revoke laptop-a frá ./easyrsa gen-crl, og annað skrefið er það sem fólk gleymir. Að búa til CRL hjá útgefandanum skilar því ekki til neins VPN-sannprófanda.

Dreifing, hegðun við endurhleðslu og hvað verður um lotur sem þegar eru komnar á eru uppsetningarákvarðanir, ekki eiginleikar tólsins.

Þetta bil er hagnýta röksemdin fyrir rótgrónu vinnuflæði umfram hrúgu af ad hoc openssl-skipunum. Erfidi hlutinn við að reka útgefanda er ekki fyrsta skírteinið. Það er að halda útgáfuskrám, öryggisafritum, endurnýjunum og fjarlægingum samkvæmum þegar tæki koma og fara.

Þegar útgefandi er þegar til

Ef stofnunin þín rekur þegar samþykkta skírteinisþjónustu skráðu þig í gegnum hana. Að reisa annað CA vegna þess að kennsluefni hafði að geyma Easy-RSA-skipanir skapar vinnu við dreifingu trausts, vinnu við öryggisafrit og eitt í viðbót sem þarf að afturkalla rétt.

Staðbundinn útgefandi er skuldbinding um að reka CA, ekki gátbox í uppsetningarleiðbeiningum.

Hvenær Easy-RSA er rétta valið

Fyrir litla einkauppsetningu sem þarf sannarlega sinn eigin útgefanda gefur Easy-RSA einbeitt vinnuflæði án þess að setja saman hverja aðgerð fyrir höndina. frumleiðarvísir Easy-RSA fer yfir skrefin beiðni, undirritun, afturköllun og CRL í réttri röð. Haltu undirritunarefni CA hjá tilnefndum eiganda þess; biðlarar þurfa eigin skilríki og viðeigandi opinbert traust, aldrei afrit af undirritunarlyklinum.

PIN-byggt OpenVPN-hönnun er önnur lögmæt traustskipan, ekki brotið PKI sem bíður viðgerðar. Og innskráning á reikning fjarlægir ekki þörfina á að auðkenna netþjóninn samkvæmt þeim samskiptareglum sem þú valdir.

Svaraðu fjórum spurningum áður en þú velur: hver samþykkir nýja auðkennið, hvar býr einkalykill þess, hvernig berst skírteinið til biðlarans og hvernig hættir afturkallað auðkenni að vera samþykkt.