გამოიყენეთ თქვენი არსებული საწარმო CA OpenVPN პირებისთვის

OpenVPN-ში არაფერი მოითხოვს, რომ სერტიფიკატი Easy-RSA-დან მოვიდეს, და პარკმა, რომელსაც უკვე აქვს ორგანიზაციული PKI, ჩვეულებრივ მეორე არ უნდა ააშენოს. ნამდვილი სამუშაო არ არის ხელსაწყოს არჩევა, არამედ იმის გადაწყვეტა, რას ნიშნავს გამოცემული იდენტობები, რომელ პირებს იღებს გვირაბი და როგორ აღწევს განახლება და გაუქმება გადამოწმებამდე. გაიარეთ ქვემოთ მოცემული ხუთი ნაბიჯი თანმიმდევრობით, რადგან გვიანი ნაბიჯი ვერ შეაკეთებს პირველში მიღებულ როლის გადაწყვეტილებას.

გამოსციეთ ორი როლი ერთი საერთო იდენტობის ნაცვლად

თითოეულ პირს სჭირდება საკუთარი სერტიფიკატი და შესაბამისი კერძო გასაღები. სთხოვეთ PKI გუნდს სერვერის გამოყენების მქონე სერვერის იდენტობა და კლიენტის გამოყენების მქონე ცალკე კლიენტის იდენტობები, რათა გვირაბმა ხელის ჩამორთმევისას ორივე გაარჩიოს.

წინააღმდეგობა გაუწიეთ ვადების ზეწოლის ქვეშ გამოჩენილ მოკლე გზებს. ვებ სერვერის გასაღების ლეპტოპებზე კოპირება შლის იმ განსხვავებას, რომელზეც როლის შემოწმებაა დაფუძნებული, ხოლო VPN-ის ბოლო წერტილზე დაყენებული CA-ის ხელმოწერის გასაღები ერთ კომპრომეტირებულ ჰოსტს კომპრომეტირებულ იერარქიად აქცევს. PKCS12 პაკეტს შეუძლია ბოლო წერტილის გასაღები და მისი ჯაჭვი ატაროს, მაგრამ ის არასოდეს იძლევა ამ იდენტობის სხვა როლში ხელახლა გამოყენების ნებას.

დააკავშირეთ ნდობის შეყვანები თითოეულ მხარეს

კლიენტსა და სერვერს თითოეულს სჭირდება ნდობის ანკერი, საკუთარი იდენტობა და როლის ცხადი მოლოდინი. კლიენტის ფრაგმენტი, რომელიც სამივეს მიუთითებს, ასე გამოიყურება.

client
ca /etc/openvpn/pki/issuing-root.pem
cert /etc/openvpn/pki/device-17.crt
key /etc/openvpn/pki/device-17.key
remote-cert-tls server
verify-x509-name vpn.corp.example name
crl-verify /etc/openvpn/pki/issuing.crl

სერვერის მხარე ამას remote-cert-tls client-ითა და საკუთარი სერტიფიკატით აისახება, და სწორედ ეს უშლის ხელს კლიენტის სერტიფიკატის სერვერად მიღებას. სახელის შემოწმება როლის შემოწმებისგან დამოუკიდებელი გადაწყვეტილებაა. წაიკითხეთ განლაგებული კონფიგურაცია, რომ ნახოთ რომელი ველი შედარებდება, ნაცვლად ბრაუზერის სტილის ჰოსტის სახელის დამთხვევის დაშვებისა. ორივე მხარემ ცხადად უნდა თქვას, რომელ გამომცემს ენდობა, რადგან პარკის გავლით საერთო ფაილის გზა არ არის იგივე, რაც საერთო პოლიტიკა.

მიაწოდეთ შუალედური სერტიფიკატები ნდობის გაფართოების გარეშე

ორ მხარეს არ უწევს ერთი გაცემის ჯაჭვის გაზიარება. როცა პირი წარადგენს შუალედურით ხელმოწერილ სერტიფიკატს, გადამოწმებულ მხარეს სჭირდება ის შუალედური ხელმისაწვდომი, და OpenVPN განასხვავებს ნდობის ანკერის შეყვანას იმ დამატებითი სერტიფიკატებისგან, რომლებიც ლოკალურად წარდგენილი ჯაჭვის დასასრულებლად გამოიყენება. OpenVPN 2.6-ის TLS პარამეტრების ცნობარი ორივეს აღწერს.

შუალედური CA თავისთავად პრობლემა არ არის, მაგრამ ნდობის პაკეტში ჩაგდებული ფართო საწარმო ფესვი არის. რაც უფრო ფართოა ანკერი, მით მეტი სერტიფიკატი გადის ჯაჭვის ტესტს, და როლის შემოწმება ამას უფლებამოსილი პერსონალის სიად არ აქცევს. შევიწროეთ ანკერი გამომცემამდე, რომელიც რეალურად ხელს აწერს VPN იდენტობებს, სადაც იერარქია იძლევა საშუალებას. თუ არ იძლევა, დააფიქსირეთ ფართო ანკერი, როგორც განზრახ მიღებული რისკი, ნაცვლად მისი ნაგულისხმევად დატოვებისა.

შეუთანხმდით PKI გუნდს, როგორ აღწევს განახლება და გაუქმება VPN გადამოწმებლებამდე, მათ შორის რომელი გამომცემებია მნიშვნელოვანი და ვინ აქვეყნებს სიას. სერტიფიკატში ჩაშენებული CRL გავრცელების წერტილი ინსტრუქციაა და არა მტკიცებულება, რომ რაღაცამ ის ჩამოტვირთა.

გადაწყვიტეთ, როგორ მოდის გაუქმება სინამდვილეში

crl-verify აიძულებს გადამოწმებელს მიმართოს ფაილს ან ბოლო წერტილს, და ამ წყობას სჭირდება მფლობელი და განახლების გზა. განლაგების დროს ერთხელ დაკოპირებული სია ჩუმად წყვეტს თქვენს დაცვას სერტიფიკატის პირველ გაუქმებაზე.

ჩამოწერეთ მოსალოდნელი გავრცელების დრო და გამოსცადეთ ის სერტიფიკატით, რომლის გაუქმებაც მზად ხართ. თუ სია VPN ჰოსტზე ვერ განახლდება, ალტერნატივა უფრო მოკლე მოქმედების ვადა და რეალურად მოქმედი განახლების პროცესია, და არა დაშვება, რომ გაუქმება მუშაობს, რადგან URL არსებობს.

დაამტკიცეთ მიღება რეალური კლიენტით

დაუკავშირეთ კლიენტი, რომელსაც უნდა დაეშვას, და დაადასტურეთ ლოგში მოლაპარაკებული სერტიფიკატის დეტალები. შემდეგ სცადეთ ის შემთხვევები, რომლებიც უნდა ჩავარდეს: სერვერად წარდგენილი კლიენტის სერტიფიკატი, ნდობის ანკერის გარეთ მყოფი გამომცემის სერტიფიკატი და გაუქმებული სერტიფიკატი, თუ ერთი ზედმეტი გაქვთ.

ჩაწერეთ მიღებული გამომცემი, როლის შემოწმება და გაუქმების წყარო პროფილის გვერდით. სწორედ ეს ჩანაწერი სჭირდება შემდეგ ინჟინერს, როცა გასულ თვეში მომუშავე მოწყობილობა შეწყვეტს დაკავშირებას, და ეს ასევე მტკიცებულებაა, რომ საწარმო CA გამოიყენება დოკუმენტირებული მიღების საზღვრის შიგნით და არა როგორც ზოგადი დანიშნულების ნდობის ნაგავსაყრელი.