OpenVPN әріптестері үшін бар кәсіпорындық CA пайдаланыңыз

OpenVPN-де ештеңе сертификаттың Easy-RSA-дан келуін талап етпейді, ал ұйымдық PKI-сы бар парк әдетте екіншісін салмауы керек. Нағыз жұмыс құрал таңдау емес, шығарылған сәйкестіктердің нені білдіретінін, туннельдің қай әріптестерді қабылдайтынын және жаңарту мен кері қайтарудың тексерушіге қалай жететінін шешу. Төмендегі бес қадамды ретімен орындаңыз, өйткені кейінгі қадам біріншіде қабылданған рөл шешімін түзете алмайды.

Бір ортақ сәйкестіктің орнына екі рөл шығарыңыз

Әр әріптеске өз сертификаты мен сәйкес жеке кілті қажет. PKI тобынан серверлік қолданысы бар сервер сәйкестігін және клиенттік қолданысы бар жеке клиент сәйкестіктерін сұраңыз, туннель қол алысу кезінде екеуін ажырата алуы үшін.

Мерзім қысымы астында пайда болатын қысқа жолдарға қарсы тұрыңыз. Веб-сервер кілтін ноутбуктерге көшіру рөл тексерісі сүйенетін айырмашылықты жояды, ал VPN шеткі нүктесіне орнатылған CA қолтаңба кілті бір бұзылған хостты бұзылған иерархияға айналдырады. PKCS12 бумасы шеткі нүкте кілтін және оның тізбегін тасымалдай алады, бірақ ол сол сәйкестікті басқа рөлде қайта пайдалануға ешқашан рұқсат бермейді.

Әр жақта сенім кірістерін қосыңыз

Клиент пен сервердің әрқайсысына сенім тірегі, өз сәйкестігі және айқын рөл күтуі қажет. Үшеуін де көрсететін клиент үзіндісі былай көрінеді.

client
ca /etc/openvpn/pki/issuing-root.pem
cert /etc/openvpn/pki/device-17.crt
key /etc/openvpn/pki/device-17.key
remote-cert-tls server
verify-x509-name vpn.corp.example name
crl-verify /etc/openvpn/pki/issuing.crl

Сервер жағы оны remote-cert-tls client және өз сертификатымен бейнелейді, және дәл осы клиент сертификатын сервер ретінде қабылдауға жол бермейді. Атауды тексеру рөлді тексеруден бөлек шешім. Браузерлік стильдегі хост атауының сәйкестігін болжаудың орнына қай өріс салыстырылатынын көру үшін орналастырылған конфигурацияны оқыңыз. Екі жақ та қай шығарушыға сенетінін айқын айтуы керек, өйткені парк бойынша ортақ файл жолы ортақ саясатпен бірдей емес.

Сенімді кеңейтпей аралық сертификаттарды жеткізіңіз

Екі жақ бір шығару тізбегін бөлісуге міндетті емес. Әріптес аралықпен қол қойылған сертификат ұсынғанда, тексеретін жаққа сол аралық қолжетімді болуы қажет, және OpenVPN сенім тірегінің кірісін жергілікті ұсынылған тізбекті аяқтауға қолданылатын қосымша сертификаттардан ажыратады. OpenVPN 2.6 TLS параметрлерінің анықтамалығы екеуін де құжаттайды.

Аралық CA өздігінен мәселе емес, бірақ сенім бумасына лақтырылған кең кәсіпорындық түбір мәселе. Тірек неғұрлым кең болса, тізбек сынағынан соғұрлым көп сертификат өтеді, ал рөл тексерісі оны уәкілетті қызметкерлер тізіміне айналдырмайды. Иерархия рұқсат ететін жерде тіректі VPN сәйкестіктеріне нақты қол қоятын шығарушыға дейін тарылтыңыз. Егер рұқсат етпесе, кең тіректі жасырын қалдырудың орнына әдейі қабылданған тәуекел ретінде құжаттаңыз.

PKI тобымен жаңарту мен кері қайтарудың VPN тексерушілеріне қалай жететінін, қай шығарушылардың маңызды екенін және тізімді кім жариялайтынын келісіңіз. Сертификатқа енгізілген CRL тарату нүктесі — нұсқаулық, біреу оны әкелгенінің дәлелі емес.

Кері қайтарудың нақты қалай келетінін шешіңіз

crl-verify тексерушіні файлға немесе шеткі нүктеге жүгіндіреді, және бұл тәртіпке ие мен жаңарту жолы қажет. Орналастыру кезінде бір рет көшірілген тізім сертификат алғаш кері қайтарылғанда сізді қорғауды үнсіз тоқтатады.

Күтілетін таралу уақытын жазып қойыңыз және оны кері қайтаруға дайын сертификатпен сынаңыз. Егер тізімді VPN хостта жаңарту мүмкін болмаса, балама — қысқарақ жарамдылық мерзімі және нақты жұмыс істейтін жаңарту процесі, URL бар деп кері қайтару жұмыс істейді деген болжам емес.

Нақты клиентпен қабылдауды дәлелдеңіз

Рұқсат етілуі тиіс клиентті қосыңыз және журналда келісілген сертификат мәліметтерін растаңыз. Содан кейін сәтсіз болуы тиіс жағдайларды көріңіз: сервер ретінде ұсынылған клиент сертификаты, сенім тірегінен тыс шығарушының сертификаты және артық болса, кері қайтарылған сертификат.

Қабылданған шығарушыны, рөл тексерісін және кері қайтару көзін профильдің қасына жазыңыз. Дәл сол жазба өткен айда жұмыс істеген құрылғы қосылуды тоқтатқанда келесі инженерге қажет болады, және ол кәсіпорындық CA жалпы мақсаттағы сенім қоймасы ретінде емес, құжатталған қабылдау шекарасының ішінде қолданылатынының дәлелі.