Notaðu fyrirliggjandi fyrirtækis-CA fyrir OpenVPN-jafningja

Ekkert í OpenVPN krefst þess að vottorðið komi frá Easy-RSA, og floti sem hefur nú þegar skipulagslegt PKI ætti venjulega ekki að byggja annað. Raunverulega verkið er ekki að velja verkfæri heldur að ákveða hvað útgefnu auðkennin þýða, hvaða jafningja göngin samþykkja og hvernig endurnýjun og afturköllun berast sannprófandanum. Farðu í gegnum fimm skrefin hér að neðan í röð, því seinna skref getur ekki lagfært hlutverksákvörðun sem tekin var í því fyrsta.

Gefðu út tvö hlutverk í stað eins sameiginlegs auðkennis

Hver jafningi þarf eigið vottorð og samsvarandi einkanlega. Biddu PKI-teymið um netþjónaauðkenni með netþjónanotkun og aðskilin biðlaraauðkenni með biðlaranotkun, svo göngin geti greint þau tvö við handabandið.

Standa gegn flýtileiðunum sem birtast undir tímapressu. Afrit af lykli vefþjóns á fartölvur þurrkar út þann greinarmun sem hlutverkaprófið byggir á, og CA-undirskriftarlykill uppsettur á VPN-endapunkt gerir eitt íhlaðið hýsil að íhlaðinni stigveldi. PKCS12-pakki getur borið endapunktarlykil og keðju hans, en hann veitir aldrei leyfi til að endurnota það auðkenni í öðru hlutverki.

Tengdu trauststengingarnar á hvorri hlið

Biðlarinn og netþjónninn þurfa hvort um sig traustakkeri, eigið auðkenni og skýra hlutverkavæntingu. Biðlarabrot sem tilgreinir öll þrjú lítur svona út.

client
ca /etc/openvpn/pki/issuing-root.pem
cert /etc/openvpn/pki/device-17.crt
key /etc/openvpn/pki/device-17.key
remote-cert-tls server
verify-x509-name vpn.corp.example name
crl-verify /etc/openvpn/pki/issuing.crl

Netþjónshliðin speglar það með remote-cert-tls client og eigin vottorði, og það er það sem kemur í veg fyrir að biðlaravottorð sé samþykkt sem netþjónn. Nafnaprófið er ákvörðun aðskilin frá hlutverkaprófinu. Lestu uppsettu stillinguna til að sjá hvaða reitur er borinn saman í stað þess að gera ráð fyrir hýsilnafnssamsvörun í stíl vafra. Báðar hliðar ættu líka að vera skýrar um hvaða útgefanda þær treysta, því sameiginleg skráarslóð yfir flotann er ekki sama hlut og sameiginleg stefna.

Skilaðu millisertifikötum án þess að víkka traustið

Hinar tvær hliðar þurfa ekki að deila einni útgáfukeðju. Þegar jafningi leggur fram vottorð sem millisertifikat hefur undirritað þarf sannprófandi hliðin það millisertifikat tiltækt, og OpenVPN greinir milli traustakkersinntaks og viðbótarvottorðanna sem notuð eru til að ljúka staðbundinni keðju. TLS-valkostaviðmiðun OpenVPN 2.6 skjalfestir bæði.

Milli-CA er ekki vandamál í sjálfu sér, en breitt fyrirtækisrót sem er hent í traustabunka er það. Því breiðara sem akkerið er, því fleiri vottorð standast keðjuprófið, og hlutverkapróf breytir því ekki í lista yfir heimilað starfsfólk. Þrengdu akkerið að útgefandanum sem raunverulega undirritar VPN-auðkenni þar sem stigveldinu leyfir. Ef það leyfir ekki, skjalfestu breiðara akkerið sem viljandi samþykkta áhættu í stað þess að láta það vera ósagt.

Samþykktu við PKI-teymið hvernig endurnýjun og afturköllun berast VPN-sannprófununum, þar á meðal hvaða útgefendur skipta máli og hver birtir listann. CRL-dreifingarpunktur sem er innbyggður í vottorð er fyrirmæli, ekki sönnun þess að eitthvað hafi sótt hann.

Ákveddu hvernig afturköllun berst í raun

crl-verify fær sannprófandann til að leita í skrá eða endapunkti, og það fyrirkomulag þarf eiganda og endurnýjunarleið. Listi sem er afritaður einu sinni við uppsetningu hættir hljóðlaust að verja þig í fyrsta skipti sem vottorð er afturkallað.

Skrifaðu niður væntanlegan útbreiðslutíma og prófaðu hann með vottorði sem þú ert tilbúin að afturkalla. Ef ekki er hægt að endurnýja listann á VPN-hýsilnum er valkosturinn styttri gildistími auk endurnýjunarferlis sem í raun gengur, ekki sú forsenda að afturköllun virki af því að URL er til.

Sannaðu samþykkt með raunverulegum biðlara

Tengdu biðlara sem á að leyfa og staðfestu samið vottorðsupplýsingar í annálnum. Prófaðu síðan tilfellin sem verða að mistakast: biðlaravottorð lagt fram sem netþjónn, vottorð frá útgefanda utan traustakkers og afturkallað vottorð ef þú átt eitt til vara.

Skráðu samþykktan útgefanda, hlutverkaprófið og uppruna afturköllunar við hlið prófílsins. Þessi skráning er það sem næsti verkfræðingur þarf þegar tæki sem virkaði í síðasta mánuði hættir að tengjast, og hún er líka sönnunin fyrir því að fyrirtækis-CA er notað innan skjalfestra samþykktarmarka en ekki sem traustahaugur til almennra nota.