Түбірлік кілтсіз VPN сертификаттарын беруді тапсыру

Біреуге VPN клиенттерін тіркеу қабілетін беру және оған түбірлік кілттің тасымалданатын көшірмесін беру — екі түрлі әрекет, және айырмашылық сол адам кеткенде немесе сол кілт тарап кеткенде ғана көрінеді. Біріншісі сіз басқаратын жұмыс ағының ішіндегі операция береді; екіншісі кез келген жерде, желісіз, шексіз уақытқа сенім жасау қабілетін береді. Кез келген кілт материалына қол тигізбес бұрын жұмысқа қайсысы керек екенін шешіңіз. Иерархия диаграммасы бұл сұраққа сіз үшін жауап бермейді.

Тіркеу жұмысын үш сұрақ ретінде жазыңыз: кім сұрата алады, кім мақұлдайды және беруші компонент неге қол қоя алады.

Қандай қабілет беретініңізді шешіңіз

Беруші қызмет мақұлдау жұмыс ағынын ұсынып, қол қою материалын бөлек иеде ұстай алады. Оператор құрылғы сұрауын мақұлдайды, қызмет саясатты қолданып, беруді тіркейді, және қатысушылардың ешқайсысы CA кілтін ұстамайды. Рұқсат етілген сәйкестіктерді, мақұлдаушыларды және қызметтің қол қоя алатын ауқымын құжаттаңыз; содан кейін оның әкімшілендіруін кілттей мұқият қорғаңыз. Сертификатқа қол қою сұрауы — сұрау, авторизация шешімі емес.

Аппараттық қолдауы бар сақтау кілттің көшірілу қаупін өзгертеді, авторизация қажеттілігін емес. Экспортталмайтын дегеніміз кілтті шығару мүмкін емес, және бұл қол қою интерфейсін шақыра алатын кез келген адамның сертификатқа құқы бар дегенді білдірмейді. Осы екі қасиетті бөлек бағалаңыз.

Аралық сертификат өкілеттікті шектейді

Түбір күнделікті беру үшін аралық сертификатты куәландыра алады, сондықтан күнделікті жұмыс енді түбірлік кілтке қол тигізбейді, түбірдің өзінің қол қою және қалпына келтіру рәсімдері қорғалған болса. Бұл нақты шекара және тегін емес: тағы бір сертификат, тағы бір кілт, тағы бір жаңарту және ұстауға тағы бір кері қайтару тізімі. Оны әдейі қойылған басқару немесе тәуекел шекарасын білдіргенде пайдаланыңыз. Әр әкімшіге беруші жасау барлық нәрсенің көбін өндіреді және жұмыс ағымы бұрын бермеген ештеңені сатып алмайды.

VPN тексерушілерінің тізбекті күткендей құратынын тексеріңіз. Тізбек құру үшін аралық сертификат жіберу және оны тікелей сенімді анкер ретінде орнату — әртүрлі реттеулер.

pathLen нөл дегеніміз сіз ойлаған нәрсе емес

RFC 5280 4.2.1.9 бөлімі негізгі шектеулерді анықтайды, және оның жол ұзындығы өрісі жарамды жолда қанша өзін-өзі бермеген аралық сертификат келе алатынын шектейді. Нөл мәні одан әрі аралық тереңдікті шектейді; ол соңғы субъект сертификаттарының санын шектемейді. Адамдар мұны нөл сертификат рұқсат етілген деп оқып, содан кейін беру неге әлі жұмыс істейтініне таң қалады. Өрісті CA үшін тереңдік шегі ретінде оқыңыз, және мінез-құлық болжамды болады.

Сол бөлім сенім анкері жолды тексерудің кірісі екенін, жол ішіндегі қарапайым сертификат емес екенін білдіреді. Сондықтан өзіне қол қойған түбір үшін кері қайтару жазуын жариялау оны әрбір қоймадан сенімді түрде жоймайды.

Жұмыстан шығу кілттің бұзылуы емес

Егер кетуші тек жеке басқару тіркелгісін ұстаса, сол қатынасты және оның сессияларын қолдау көрсетілетін сәйкестік процесі арқылы кері қайтарыңыз, содан кейін оның жасаған әрекеті мен мақұлдауларын қарап шығыңыз. Бұрын берілген клиент сертификаттары олардың мақұлдаушысы кеткендіктен жарамсыз болмайды, және оларды бұзылған деп санау үлкен, қажетсіз қайта тіркеуді тудырады. Тіркелгіні өшіру де көшірілген қол қою кілтін жарамсыз ете алмайды, сондықтан жауап қандай қабілет ұсталғанына байланысты.

Аралық сертификат бұзылғанда, оның авторизациясы қайтарылып, ол кепілдік берген әрбір сәйкестік алмастырылуы керек, тексеруші қолданатын саясатқа сәйкес. Түбір сенімі өз жауабын талап қылады, өйткені анкер сіз көзөмөлдөбөгөн сенім қоймаларында тұрады.

Дизайнды төрт нақты жағдаймен қабылдаңыз: жарамды құрылғы тіркеледі, мақұлданбаған сұрау қабылданбайды, жойылған оператор енді бере алмайды, және зейнетке шыққан беруші енді қатынас бермейді. Осы төрт нәтиже — runbook.