OpenVPN үшін Easy-RSA керек пе? Бұл CA кімге тиесілі екеніне байланысты

Бір оқулық OpenVPN-ді баптамас бұрын Easy-RSA орнатуды айтады, сондықтан адамдар екеуі бір бума деп ойлайды. Олай емес. Easy-RSA — OpenSSL-ді басқаратын PKI басқару құралы; OpenVPN — туннель. Біреуі кімге сену керегін шешеді, екіншісі пакеттерді тасымалдайды.

Маңызды салыстыру қай құрал жақсы дегенде емес. Ол — сіздің ұйымыңызда шығарушы кімге тиесілі дегенде.

Easy-RSA шын мәнінде не

Жоба өзін X.509 PKI басқару құралы ретінде сипаттайды, криптографиялық жұмысты OpenSSL атқарады. Бұл кілттерді жасау, сертификат сұраулары, қол қою саясаты және кері қайтаруды қайталанатын каталог құрылымына орайтынын білдіреді. Ол бұрыннан бар туннельге шифрлау қабатын қоспайды және RSA-ны басқа білікті құрал жасаған дәл сол кілттен күшті етпейді. Оның жасайтыны — жұмыс ағынын тексерілетін ету.

Бұл нақты пайда, бірақ криптографиялық емес, операциялық пайда.

Бір ноутбукті тіркелу барысында бақылаңыз

Жаңа ноутбук өз кілтін жасайды және сертификат сұрауын жібереді, сондықтан жеке кілт құрылғыдан ешқашан шықпайды. Содан кейін шығарушы бұл сұрауға клиент рөлі үшін дұрыс кеңейтулерді таңдайтын түрмен қол қояды. Easy-RSA-да бұл — ./easyrsa sign-req client laptop-a.

Оператор бұл адамның рұқсатқа лайық екенін әлі де шешуі керек. Ешбір қол қою құралы жалпы атаудан құқық шығармайды.

Қол қойылған сертификат сәйкес кілтті ұстайтын құрылғыға қайтады, ал VPN орналастыруы сервер сенімін, жеке басын тексеруді, желілік саясатты және тіркелгі талаптарын бөлек қамтамасыз етеді. Шығарушының шығыс каталогындағы файл мұның ешқайсысын дәлелдемейді. Мұны тек аяқталған қол алысу дәлелдейді.

Сол ноутбукті шығу барысында бақылаңыз

Шығарушы таңдауы шынымен көрінетін жер — жою. Пайдалануға жарамды жұмыс ағыны сертификатты анықтайды, кері қайтаруды тіркейді және оған сүйенетін жүйелерге оны қабылдамау үшін қажеттіні шығарады. Easy-RSA ./easyrsa revoke laptop-a мен ./easyrsa gen-crl арасын ажыратады, ал екінші қадам — адамдар ұмытатын қадам. Шығарушыда CRL жасау оны ешбір VPN тексерушісіне жеткізбейді.

Тарату, қайта жүктеу кезіндегі әрекет және қазірдің өзінде орнатылған сессиялармен не болатыны — орналастыру шешімдері, құрал функциялары емес.

Осы алшақтық — орныққан жұмыс ағынының пайдасына ad hoc openssl командаларының үйіндісіне қарсы практикалық дәлел. Шығарушыны басқарудың қиын бөлігі бірінші сертификат емес. Құрылғылар келіп-кетіп жатқанда шығарылым жазбаларын, сақтық көшірмелерді, жаңартуларды және жоюларды келісімді ұстау.

Шығарушы бұрыннан болған жағдайда

Егер ұйымыңыз бұрыннан бекітілген сертификат қызметін басқарса, сол арқылы тіркеліңіз. Оқулықта Easy-RSA командалары болғаны үшін екінші CA көтеру сенімді тарату жұмысын, сақтық көшірме жұмысын және дұрыс кері қайтаруды қажет ететін тағы бір нәрсені тудырады.

Жергілікті шығарушы — CA басқаруға міндеттеме, баптау нұсқаулығындағы құсбелгі емес.

Easy-RSA қашан дұрыс таңдау

Шынымен өз шығарушысы қажет шағын жеке орналастыру үшін Easy-RSA әр операцияны қолмен жинамай-ақ бағытталған жұмыс ағынын береді. Easy-RSA-ның түпнұсқа нұсқаулығы сұрау, қол қою, кері қайтару және CRL қадамдарын ретімен қамтиды. CA қол қою материалын оның тағайындалған иесінде ұстаңыз; клиенттерге өз тіркелгі деректері мен тиісті жария сенім қажет, қол қою кілтінің көшірмесі ешқашан.

PIN-ге негізделген OpenVPN дизайны — сенімнің тағы бір заңды реті, жөндеуді күтіп тұрған бұзылған PKI емес. Ал тіркелгіге кіру қалаған протоколыңыз бойынша серверді аутентификациялау қажеттілігін жоймайды.

Таңдау алдында төрт сұраққа жауап беріңіз: жаңа жеке басты кім бекітеді, оның жеке кілті қайда тұрады, сертификат клиентке қалай жетеді және зейнетке шыққан жеке бас қалай қабылданбайды.