VPN კლიენტის დამატება CA-ის გადაშენების გარეშე

გჭირდებათ კიდევ ერთი სერტიფიკატი კიდევ ერთი ლეპტოპისთვის, მაგრამ ძიების შედეგებში პირველი გზამკვლევი იწყება ბრძანებით, რომელიც შლის PKI საქაღალდეს. ეს ბრძანება პირველ კონფიგურაციას ეკუთვნის და არა რეგისტრაციას, და მისი გაშვება გაკარგვინებთ CA-ს, გაცემის ისტორიას და ყველა კლიენტურ პროფილს, რომელიც ძველ გამცემს ენდობოდა. გადაწყვეტილება უფრო ვიწროა: აქვს გამცემს ჯერ კიდევ გამოსაყენებელი მდგომარეობა და ერგება ახალი მოწყობილობა თქვენს რეგისტრაციის პოლიტიკას? სამი პირობა წყვეტს და მხოლოდ ერთი ამართლებს გადაშენებას.

რას ანადგურებს გადაშენება სინამდვილეში

PKI-ის ხელახალი ინიციალიზაცია საქაღალდეს ცარიელი სტრუქტურით ცვლის: ახალი CA გასაღები და სერტიფიკატი, ცარიელი გაცემის ბაზა, ახალი სერიული ნომრის მთვლელი. კლიენტები თავისთავად არ მიჰყვებიან; მათი პროფილები ძველ CA-ს ამაგრებენ, ამიტომ ყოველი მოწყობილობა ხელახლა უნდა დარეგისტრირდეს, ხოლო მიუწვდომლები ხელით.

უფრო წყნარი დანაკარგი აღრიცხვაა. გაუქმება დამოკიდებულია იმაზე, იცით რომელი სერიული ნომრები ვის გასცით. წაშალეთ ინდექსი და ჯერ კიდევ შეგიძლიათ ხელმოწერა, მაგრამ ვეღარ იტყვით დარწმუნებით, რომელი გაცემული სერტიფიკატების გაუქმება გსურდათ. CA საქაღალდე სერტიფიკატებით გამცემის შესაბამისი მდგომარეობის გარეშე არის სარეზერვო ასლი, რომელიც სისტემის არასწორ ნახევარს აღადგენს.

CA-ის კერძო გასაღების მუშა სერვერის გვერდით კოპირება არის მეორე მოკლე გზა, რომელზეც უარი უნდა თქვათ: ის ქსელგარეთ უნდა დარჩეს ხელმოწერის ორგანოს უსანდრო მოძრაობის მქონე ჰოსტზე კიდევ ერთ ფაილად აქცევს.

პირველი პირობა: გამცემის მდგომარეობა კვლავ ხელმისაწვდომია?

გადაწყვეტამდე იპოვეთ საქაღალდე, რომელსაც სერვერი ნამდვილად ენდობა. შეადარეთ სერვერის მიერ CA-დ წარმოდგენილი სერტიფიკატი PKI საქაღალდისას თითის ანაბეჭდით და არა ფაილის სახელით:

openssl x509 -in ca.crt -noout -fingerprint -sha256
openssl x509 -in /etc/openvpn/ca.crt -noout -fingerprint -sha256

თუ ანაბეჭდები ემთხვევა, რეგისტრაცია დამატებითია და არაფერი უნდა გადააშენოთ. თუ განსხვავდება, ხელს აწერთ CA-ით, რომელსაც სერვერი არ ენდობა: სერტიფიკატი სუფთად დამონტაჟდება და ჩავარდება ხელის ჩამორთმევისას, და ეს შეცდომა საათობით არასწორად კლიენტის ხარვეზად ითვლება.

შემდეგ მოძებნეთ გაცემის მდგომარეობა: ინდექსის ფაილი, სერიული მთვლელი და CRL ნომრის ფაილი. თუ ინდექსი გაქრა, მაგრამ გასაღები დარჩა, გაცემა შეგიძლიათ, თუმცა მემკვიდრეობით იღებთ გაუქმებათა აღრიცხვის პრობლემას. ჩაწერეთ ეს ცვლილებათა ჟურნალში, რადგან შემდეგი გაუქმების მოთხოვნა გამოავლენს მას.

მეორე პირობა: ვის უჭირავს ახალი კერძო გასაღები?

ეს არის გადაწყვეტილება, რომელსაც მომხმარებლები გრძნობენ, ამიტომ მიიღეთ იგი ცალსახად. კლიენტზე შექმნილი და მოთხოვნად გაგზავნილი გასაღები კერძო ნახევარს მოწყობილობაზე ტოვებს პირველივე ბრძანებიდან და ადმინისტრატორი მას არასდროს ეხება. სერვერზე შექმნილი გასაღები იარაღების არმქონე მოწყობილობებისთვის იოლია, მაგრამ ადმინისტრატორს ყველა გასაღების მცველად აქცევს და აფართოებს სერვერის გატეხვის გავლენას.

არსებული CA-ის წინააღმდეგ Easy-RSA 3-ით მოთხოვნის იმპორტი და ხელმოწერა ორი ბრძანებაა:

./easyrsa import-req /tmp/alice.req alice
./easyrsa sign-req client alice

აირჩიეთ სერტიფიკატის ტიპი გააზრებულად. კლიენტის ნაცვლად სერვერის სერტიფიკატად ხელმოწერილი მოთხოვნა იძლევა ფაილს, რომელიც კარგად გამოიყურება და პარტნიორი უარყოფს, ხოლო შეცდომის შეტყობინება იშვიათად ამბობს რატომ. openssl ca-ით ხელმოწერისას იგივე არჩევანი თქვენს მიერ გადაცემულ გაფართოებებშია და არა ნაგულისხმევ განყოფილებაში.

მესამე პირობა: სერვერს მეტი სჭირდება, ვიდრე სერტიფიკატი?

სერტიფიკატით ავთენტიფიკაციის მქონე ჩვეულებრივი OpenVPN სერვერისთვის სერტიფიკატი თავად რეგისტრაციაა: საერთო სახელი ხდება კლიენტის იდენტობა და ნებისმიერი საქაღალდე, გაგზავნილი მარშრუტი თუ სტატიკური მისამართი ამ სახელზეა დამოკიდებული. დაამატეთ სერტიფიკატი და დაივიწყეთ კონფიგურაცია: გვირაბი დაუკავშირდება, მაგრამ საჭირო მარშრუტები არ გამოჩნდება.

პლატფორმები ამას ცვლიან. OpenVPN Access Server-ს საკუთარი მომხმარებლების ბაზა აქვს, ამიტომ ხელმოწერილი სერტიფიკატი ანგარიში არ არის; ანგარიში უნდა არსებობდეს და ნებადართული იყოს. სხვა კარიბჭეები იდენტობის სტრიქონს ჯგუფს უკავშირებენ. ერთი მოწყობილობის რეგისტრაცია ჩვეულებრივ ორ სისტემას ეხება და სერტიფიკატი მხოლოდ პირველია.

დამატებითი პროცედურა და როდის არის გადაშენება სწორი

თანმიმდევრობა, რომელიც ზიანის გარეშე ამატებს მოწყობილობას: დაადასტურეთ გამცემი ანაბეჭდით, აიღეთ PKI საქაღალდის ახალი სარეზერვო ასლი, შემოიტანეთ და მოაწერეთ ხელი მოთხოვნას კლიენტის როლისთვის, გადაეცით სერტიფიკატი ჯაჭვით დამტკიცებული არხით და შეამოწმეთ მომხმარებლის დაკავშირებამდე:

openssl verify -CAfile ca.crt alice.crt
openssl x509 -in alice.crt -noout -subject -issuer -dates -purpose

დანიშნულების ხაზმა უნდა აჩვენოს SSL client. დაასრულეთ CA-ის სარეზერვო ასლის განახლებით გაცემის შემდეგ, რადგან ახალი სერიული ნომრის ჩაწერამდე აღებული ასლი აღადგენს მდგომარეობას თქვენ მიერ ახლახან დამატებული მოწყობილობის გარეშე.

გადაშენება სწორია სამ შემთხვევაში: CA გასაღები გატეხილია, გაცემის მდგომარეობა შეუქცევადად დაკარგულია, ან განზრახ ცვლით გასაღების ალგორითმს ან სერტიფიკატის პოლიტიკას. სამივე პროექტია ყოველი კლიენტის ხელახალი რეგისტრაციის გეგმით და არა ერთი მოწყობილობის მოთხოვნის ნაბიჯები. თუ არც ერთი არ ვრცელდება, დაარეგისტრირეთ დამატებით.