გჭირდებათ Easy-RSA OpenVPN-ისთვის? დამოკიდებულია იმაზე, ვის ეკუთვნის CA

ერთი გაკვეთილი ამბობს, რომ OpenVPN-ის დაყენებამდე უნდა დააყენოთ Easy-RSA, ამიტომ ადამიანები ფიქრობენ, რომ ორივე ერთი პაკეტია. ასე არ არის. Easy-RSA არის PKI მართვის ინსტრუმენტი, რომელიც OpenSSL-ს მართავს; OpenVPN არის გვირაბი. ერთი წყვეტს, ვის ვენდოთ, მეორე პაკეტებს გადაადგილებს.

მთავარი შედარება არ არის, რომელი ინსტრუმენტი ჯობია. არამედ ის, თუ ვის ეკუთვნის გამომცემელი თქვენს ორგანიზაციაში.

რა არის Easy-RSA სინამდვილეში

პროექტი თავს აღწერს როგორც X.509 PKI მართვის ინსტრუმენტს, სადაც კრიპტოგრაფიულ სამუშაოს OpenSSL ასრულებს. ეს ნიშნავს, რომ ის ახვევს გასაღების გენერაციას, სერტიფიკატის მოთხოვნებს, ხელმოწერის პოლიტიკას და გაუქმებას განმეორებად დირექტორიების სტრუქტურაში. ის არ ამატებს დაშიფვრის ფენას უკვე არსებულ გვირაბს და RSA-ს არ ხდის უფრო ძლიერს, ვიდრე იგივე გასაღები, რომელიც სხვა კომპეტენტურმა ინსტრუმენტმა შექმნა. რასაც აკეთებს, სამუშაო ნაკადს აუდიტირებადს ხდის.

ეს რეალური უპირატესობაა, მაგრამ ოპერაციული და არა კრიპტოგრაფიული.

თვალი ადევნეთ ერთ ლეპტოპს რეგისტრაციის განმავლობაში

ახალი ლეპტოპი ქმნის საკუთარ გასაღებს და აგზავნის სერტიფიკატის მოთხოვნას, ამიტომ პირადი გასაღები არასდროს ტოვებს მოწყობილობას. შემდეგ გამომცემელი ხელს აწერს ამ მოთხოვნას ისეთი ტიპით, რომელიც კლიენტის როლისთვის სწორ გაფართოებებს ირჩევს. Easy-RSA-ში ეს არის ./easyrsa sign-req client laptop-a.

ოპერატორმა მაინც უნდა გადაწყვიტოს, რომ ეს ადამიანი წვდომას იმსახურებს. არც ერთი ხელმოწერის ინსტრუმენტი არ იღებს უფლებას საერთო სახელიდან.

ხელმოწერილი სერტიფიკატი ბრუნდება იმ მოწყობილობაზე, რომელიც შესაბამის გასაღებს ინახავს, და VPN-ის განლაგება ცალკე უზრუნველყოფს სერვერის ნდობას, იდენტობის შემოწმებებს, ქსელის პოლიტიკას და ანგარიშის მოთხოვნებს. გამომცემლის გამომავალი დირექტორიის ფაილი ამათგან არაფერს ამტკიცებს. მხოლოდ დასრულებული ხელის ჩამორთმევა აკეთებს ამას.

თვალი ადევნეთ იმავე ლეპტოპს გასვლისას

წაშლა არის ადგილი, სადაც გამომცემლის არჩევანი ნამდვილად ჩანს. გამოსადეგი სამუშაო ნაკადი იდენტიფიცირებს სერტიფიკატს, აფიქსირებს გაუქმებას და აწარმოებს იმას, რაც მასზე დაყრდნობილ სისტემებს სჭირდებათ მის უარსაყოფად. Easy-RSA ჰყოფს ./easyrsa revoke laptop-a და ./easyrsa gen-crl, და მეორე ნაბიჯია ის, რასაც ხალხი ივიწყებს. CRL-ის შექმნა გამომცემელზე არ აწვდის მას არც ერთ VPN შემმოწმებელს.

განაწილება, გადატვირთვის ქცევა და ის, რაც უკვე დამყარებულ სესიებს ემართებათ, განლაგების გადაწყვეტილებებია და არა ინსტრუმენტის თვისებები.

ეს ნაპრალი პრაქტიკული არგუმენტია დამკვიდრებული სამუშაო ნაკადის სასარგებლოდ, ad hoc openssl ბრძანებების გროვის წინააღმდეგ. გამომცემლის მართვის რთული ნაწილი პირველი სერტიფიკატი არ არის. ეს არის გამოცემის ჩანაწერების, სარეზერვო ასლების, განახლებების და წაშლების თანმიმდევრულად შენახვა, სანამ მოწყობილობები მოდიან და მიდიან.

როცა გამომცემელი უკვე არსებობს

თუ თქვენი ორგანიზაცია უკვე მართავს დამტკიცებულ სერტიფიკატის სერვისს, დარეგისტრირდით მისი მეშვეობით. მეორე CA-ის აშენება იმიტომ, რომ გაკვეთილი შეიცავდა Easy-RSA ბრძანებებს, ქმნის ნდობის განაწილების სამუშაოს, სარეზერვო ასლების სამუშაოს და კიდევ ერთ რამეს, რაც სწორად უნდა გაუქმდეს.

ლოკალური გამომცემელი CA-ის მართვის ვალდებულებაა და არა ჩამრთველი უჯრა დაყენების სახელმძღვანელოში.

როცა Easy-RSA სწორი არჩევანია

პატარა კერძო განლაგებისთვის, რომელსაც ნამდვილად სჭირდება საკუთარი გამომცემელი, Easy-RSA აძლევს ფოკუსირებულ სამუშაო ნაკადს ყოველი ოპერაციის ხელით აწყობის გარეშე. Easy-RSA-ის ორიგინალური სახელმძღვანელო თანმიმდევრობით მოიცავს მოთხოვნის, ხელმოწერის, გაუქმების და CRL-ის ნაბიჯებს. შეინახეთ CA-ის ხელმოწერის მასალა მის დანიშნულ მფლობელთან; კლიენტებს სჭირდებათ საკუთარი სერტიფიკატები და შესაბამისი საჯარო ნდობა, არასდროს ხელმოწერის გასაღების ასლი.

PIN-ზე დაფუძნებული OpenVPN დიზაინი ნდობის კიდევ ერთი ლეგიტიმური წყობაა და არა შეკეთების მოლოდინში მყოფი გატეხილი PKI. და ანგარიშზე შესვლა არ აუქმებს სერვერის ავთენტიფიკაციის საჭიროებას თქვენ მიერ არჩეული პროტოკოლით.

უპასუხეთ ოთხ კითხვას არჩევამდე: ვინ ამტკიცებს ახალ იდენტობას, სად ცხოვრობს მისი პირადი გასაღები, როგორ აღწევს სერტიფიკატი კლიენტამდე და როგორ წყვეტს პენსიაზე გასული იდენტობა მიღებას.