VPN клиентін CA-ны қайта құрмай қосу

Тағы бір ноутбукке тағы бір сертификат керек, бірақ іздеу нәтижелеріндегі бірінші нұсқаулық PKI қалтасын жоятын пәрменнен басталады. Ол пәрмен алғашқы баптауға жатады, тіркеуге емес, және оны іске қосу CA-дан, шығару тарихынан және ескі эмитентке сенген барлық клиент профилінен айырады. Шешім тар: эмитентте әлі жарамды күй бар ма және жаңа құрылғы тіркеу саясатыңызға сай ма? Үш шарт шешеді, тек біреуі қайта құруды ақтайды.

Қайта құру шын мәнінде нені жояды

PKI-ді қайта инициализациялау қалтаны бос құрылыммен алмастырады: жаңа CA кілті мен сертификаты, бос шығару дерекқоры, жаңа сериялық нөмір санағышы. Клиенттер өздігінен ермейді; олардың профильдері ескі CA-ны бекітеді, сондықтан әр құрылғы қайта тіркелуі керек, қолжетімсіздері қолмен.

Тынышырақ жоғалту — есеп. Кері қайтару қай сериялық нөмірлерді кімге бергеніңізді білуге тәуелді. Индексті тазаласаңыз, қол қоя аласыз, бірақ қалған сертификаттардың қайсысын кері қайтарғыңыз келгенін сенімді айта алмайсыз. Эмитент күйі жоқ сертификаттары бар CA қалтасы — жүйенің қате жартысын қалпына келтіретін сақтық көшірме.

CA жабық кілтін жұмыс істеп тұрған сервердің қасына көшіру — бас тартуға тұрарлық екінші қысқа жол: желіден тыс тұруы керек қол қою органын сенімсіз трафигі бар хосттағы тағы бір файлға айналдырады.

Бірінші шарт: эмитент күйі әлі қолжетімді ме?

Шешім қабылдамас бұрын сервер шынымен сенетін қалтаны табыңыз. Сервер CA ретінде ұсынатын сертификатты PKI қалтасындағысымен саусақ ізі бойынша салыстырыңыз, файл аты бойынша емес:

openssl x509 -in ca.crt -noout -fingerprint -sha256
openssl x509 -in /etc/openvpn/ca.crt -noout -fingerprint -sha256

Іздер сәйкес келсе, тіркеу қосымша және ештеңе қайта құрмаңыз. Егер өзгеше болса, сервер сенбейтін CA-мен қол қоясыз: сертификат таза орнатылып, қол алысуда сәтсіз аяқталады, және бұл қате сағаттар бойы клиент ақауы деп қате диагноздалады.

Содан кейін шығару күйін іздеңіз: индекс файлы, серия санағышы және CRL нөмірінің файлы. Индекс жоқ болса да кілт қалса, шығара аласыз, бірақ кері қайтаруды тіркеу мәселесін мұралайсыз. Оны өзгерістер журналына жазыңыз, өйткені келесі кері қайтару сұранысы оны ашады.

Екінші шарт: жаңа жабық кілт кімде?

Бұл — пайдаланушылар сезінетін шешім, сондықтан анық қабылдаңыз. Клиентте жасалып, сұраныс ретінде жіберілген кілт жабық бөлігін бірінші пәрменнен бастап құрылғыда қалдырады және әкімші оған ешқашан тимейді. Серверде жасалған кілт құралсыз құрылғыларға оңай, бірақ әкімшіні әр кілттің сақтаушысы етеді және сервер бұзылуының әсерін кеңейтеді.

Қолданыстағы CA-ға қарсы Easy-RSA 3-пен сұранысты импорттау және қол қою — екі пәрмен:

./easyrsa import-req /tmp/alice.req alice
./easyrsa sign-req client alice

Сертификат түрін әдейі таңдаңыз. Клиенттің орнына сервер сертификаты ретінде қол қойылған сұраныс жақсы көрінетін, бірақ серіктес қабылдамайтын файл береді, ал қате хабарламасы себебін сирек айтады. openssl ca-мен қол қойсаңыз, сол таңдау сіз беретін кеңейтімдерде, әдепкі бөлімде емес.

Үшінші шарт: серверге сертификаттан артық керек пе?

Сертификаттық аутентификациясы бар қарапайым OpenVPN сервері үшін сертификат — тіркеудің өзі: ортақ атау клиент идентитетіне айналады, ал кез келген қалта, жіберілген маршрут немесе статикалық мекенжай сол атауға байланысты. Сертификатты қосып, конфигурацияны ұмытсаңыз, туннель қосылады, бірақ қажет маршруттар көрінбейді.

Платформалар мұны өзгертеді. OpenVPN Access Server өз пайдаланушылар базасын ұстайды, сондықтан қол қойылған сертификат аккаунт емес; аккаунт болуы және рұқсат етілуі керек. Басқа шлюздер идентитет жолын топқа байланыстырады. Бір құрылғыны тіркеу әдетте екі жүйеге тиеді, ал сертификат тек біріншісі.

Қосымша рәсім және қайта құру қашан дұрыс

Залалсыз бір құрылғы қосатын рет: эмитентті саусақ ізімен растаңыз, PKI қалтасының жаңа сақтық көшірмесін алыңыз, клиент рөліне сұранысты импорттап қол қойыңыз, сертификатты тізбегімен бекітілген арна арқылы беріңіз, содан кейін пайдаланушы қосылмай тұрып тексеріңіз:

openssl verify -CAfile ca.crt alice.crt
openssl x509 -in alice.crt -noout -subject -issuer -dates -purpose

Мақсат жолы SSL client көрсетуі керек. Шығарудан кейін CA сақтық көшірмесін жаңартып аяқтаңыз, өйткені жаңа сериялық нөмір жазылмай тұрып алынған көшірме жаңа қосылған құрылғысыз күйді қалпына келтіреді.

Қайта құру үш жағдайда дұрыс: CA кілті бұзылған, шығару күйі қайтарымсыз жоғалған немесе кілт алгоритмін немесе сертификат саясатын әдейі өзгертесіз. Үшеуі де әр клиентті қайта тіркеу жоспарын қажет ететін жобалар, бір құрылғы сұранысының қадамдары емес. Ешқайсысы сәйкес келмесе, қосымша тіркеңіз.