Әр құрылғыға бір сертификат кілтті құрылғыға байланыстырмайды
Әр құрылғыға сертификат — әкімшілік таңдау, құрылғыға байланыстыру емес. Байланыстыруды жеке кілттің қайда тұратыны шешеді, көшіруге болатын файлдан TPM-ге дейін.
Сіз әр ноутбукке бөлек сертификат бересіз, сондықтан VPN оларды ажырата алады деп ойлайсыз. Ажырата алмайды. Клиент сертификаты қосылған адамның сәйкес жеке кілті бар екенін дәлелдейді, көшірілген профильде де сол кілт бар.
Әр құрылғыға сертификат әлі де жақсы идея. Ол тек көпшілік күткеннен өзге жұмыс атқарады.
Клиент сертификаты шын мәнінде нені дәлелдейді
Қол алысу кезінде клиент өз сертификатына сәйкес жеке кілтпен қол қояды, ал сервер бұл қолтаңбаны сенетін CA алдында тексереді. Бұл алмасуда машинаны сипаттайтын ештеңе жоқ. Сертификат пен кілтті бірге ұстаған кез келген құрылғы бірдей қолтаңба жасайды, сондықтан екінші ноутбукке көшірілген профиль түпнұсқаға дәл ұқсайды. Сертификат сәйкестікті атайды; аппараттық құралды атамайды.
Әр құрылғыға бірегейлік әлі де құнды, өйткені ол кері қайтаруды дәл етеді. Бұл әкімшілік қасиет, техникалық құлып емес.
Кілтті сақтаудың үш деңгейі
Бірінші деңгей — дискідегі кілт файлы. Ол дизайны бойынша тасымалданады, және OpenVPN профильдерінің көбісі сол жерде тұрады.
Екінші деңгей — операциялық жүйе экспортталмайтын деп белгілейтін кілт. Windows өз сертификат қоймасында құрылғы кілтін жасап, қарапайым экспорттан бас тарта алады, бұл кездейсоқ көшіруді тоқтатады. Ол аппараттық құралмен қолдау таппаған, және машинаға жеткілікті қол жеткізгенде мұндай кілттерді қалпына келтіруге болады, сондықтан ол қабырға тұрғызудың орнына күш-жігерді арттырады.
Үшінші деңгей — қауіпсіздік аппараттық құралының ішінде жасалатын кілт: TPM, смарт-карта, SIM немесе PIV токен. Бұл модульдерде өздері жасаған кілтті экспорттайтын сұлба жоқ, және қол қою модульдің ішінде жүреді. Кілт ешқашан біреу көшіре алатын файлға айналмайды.
| Where the key lives | Copyable | What it buys you |
|---|---|---|
| Key file inside the profile | Trivially | Revocation granularity, nothing more |
| OS non-exportable key store | Hard, not impossible | Stops casual profile sharing |
| TPM or PIV token | No | Binding the server can rely on |
Бұл кесте — үш жолдағы бүкіл дәйек.
easy-rsa не істей алады, не істей алмайды
Әр құрылғыға сертификат беру қарапайым. Бір CA алдында әр құрылғы үшін бөлек ортақ атау жасаңыз, мысалы ./easyrsa build-client-full laptop-a nopass, және әр құрылғы үшін қайталаңыз. Қай ортақ атау қай адам мен машинаға тиесілі екенін жазып қойыңыз.
Кері қайтару да сондай тікелей: ./easyrsa revoke laptop-a, CRL-ді ./easyrsa gen-crl арқылы қайта жасаңыз және сервер оны шынымен crl-verify арқылы оқитынына көз жеткізіңіз.
CA жасай алмайтыны — жеке кілттің кейін қайда тұратынын тексеру. Егер кілтті CA хостында жасап, құрылғыға көшірсеңіз, беру кезінде екінші көшірме жасадыңыз. Экспортталмайтын кілт құрылғыда жасалуы керек немесе оны бермейтін аппараттық құралға импортталуы керек.
Көшірілген профильге төтеп беретін бақылаулар
Профильді көшіруге болады деп есептеңіз және соған сай жобалаңыз. Тіркелгіні екінші факторға байланыстырыңыз, жалғыз сертификат жеткіліксіз болсын. Әр құрылғыға өз саясатын беріңіз, бір сәйкестіктің қамтуы шектеулі қалсын. Және бір ортақ атаудың бір уақытта екі мекенжайдан қосылуын қадағалаңыз, өйткені ортақ профиль қосылым журналында дәл солай көрінеді.
Жылдам әрі құжатталған кері қайтару — көшірме жасалғаннан кейін де жұмыс істейтін бақылау. Қалғанының бәрі алдын алу.
Сервер шынымен сүйене алатын тұжырым
Бірегейлік CA-дан келеді. Құрылғыға байланыстыру кілтті сақтаудан келеді. Тек өз кілтін экспорттай алмайтын аппараттық құрал ғана әр құрылғыға бір сертификатты бәрі келісетін саясат емес, сервер қолданатын тұжырымға айналдырады.