CSR жалғыз өзі тіркелу емес: VPN CA нені тексеруі керек

Сертификатқа қол қою сұранысы сәйкес жеке кілтпен қол қойылған ашық кілтті және сұралған subject-ті қамтиды. Бұл қолтаңба сұраныс берушінің кілті бар екенін дәлелдейді. Ол сұраныс берушінің сұралған атауға, құрылғыға немесе VPN рөліне құқығы бар екенін дәлелдемейді, және сұранысты осыны дәлелдейтіндей қарау — көмек үстелінің билетінің қатынау рұқсатына айналу тәсілі.

Екі тіркелу моделін қай протоколда сөйлейтініне емес, нені байланыстыратынына қарай салыстырған жөн.

Сұраныс атауды мәлімдейді, оны дәлелдемейді

Сұранысты оның ішінде шынымен бар нәрсеге қарай оқыңыз: ашық кілт, сұраныс беруші таңдаған subject және екеуіне қойылған өздік қолтаңба. Бұл құрылымда сіздің тізіліміңізге, шоттар каталогына немесе мақұлдау ағынына сілтейтін ештеңе жоқ. cn=finance-laptop сияқты subject — біреудің терген жолы. Шығару процесі бұл жолды сенімді жазбамен салыстырмайынша, сертификат қолтаңбасы қосылған мәлімдеме болып қалады. Осы айырмашылық тіркелу процесінің болуының бүкіл себебі.

Салдары операциялық маңызға ие. Сертификат органына сертификат беру үшін клиенттің жеке кілті ешқашан қажет емес, ал оны талап ететін процесс қол қоюды кілт сақтаумен шатастырған. Генерацияны соңғы нүктеде қалдырыңыз және тек ашық жартысын жіберіңіз.

Модельдерді нені байланыстыратынына қарай салыстырыңыз

Қолмен қол қою оператор есінде қалған тексеруді байланыстырады. Автоматтандырылған тіркелу қызметі аутентификацияланған сұранысты қызмет орындай алатын шешімге байланыстырады, ал RFC 7030 клиент сертификат қайтарылмас бұрын аутентификацияланатын осындай бір жобаны сипаттайды. Аудиттен өтетін айырмашылық — автоматтандыру емес; ол сәйкестендіруді тексеру шығару жолының ішінде ме, әлде оның қасында ма.

Екі модель де бұрынғыша сол үш сұраққа жауап беруі керек. Кім сұрайды, қай құрылғыда немесе рөлде және қанша уақытқа. Жауаптарды жазатын билет жүйесі нақты жұмыс істейді; біреу жалпы атауға қарап отыратын кезек жұмыс істемейді, кейін сертификат қаншалықты ұқыпты пішімделсе де.

Модельді күтілетін тіркелулер санына және құрылғылардың ауысуына қарай таңдаңыз. Жылына бірнеше сервер жазбаша тексеру парағымен қолмен қарап шығуға шыдайды. Ноутбуктер паркі шыдамайды.

Өмірлік циклді бірінші шығарудан бастап жазыңыз

Сертификат идентификаторын, иесін, мақсатты қолданысын, мерзімін және жою жолын шығару сәтінде сақтаңыз, алғашқы оқиға кезінде емес. Мақсатты қолданыс кеңейтілген кілт қолданысы арқылы сертификаттың өзінде болуы керек, ал жазба онымен сәйкесуі тиіс. Клиентті аутентификациялау үшін жасалған сертификат серверге арналған сертификаттан ажыратылмайтын болмауы керек.

Оныншы профильді шығармас бұрын жаңартуды және жоғалған құрылғыны қайтарып алуды жоспарлаңыз. Бөлім бойынша ортақ сертификат мақсатты жоюды үзіліске айналдырады, және бұл шешімді қазір қайта қарау жұма күнгі оқиға кезіндегіден әлдеқайда арзан.

Шығарылған сертификатты, содан кейін қатынауды тексеріңіз

Тіркелуден кейін не шығарылғанын тексеріңіз және оның күтілетін органға тізбектелетінін растаңыз. Екі команда жиі кездесетін қателерді қамтиды: дұрыс емес қолданыстағы сертификат және клиент валидацияны елемеуге конфигурацияланғандықтан ғана жұмыс істейтін тізбек.

openssl req -in client.csr -noout -verify -subject
openssl x509 -in client.crt -noout -subject -issuer -dates -ext extendedKeyUsage
openssl verify -CAfile ca.crt client.crt

Содан кейін артефактіні емес, қатынауды тексеріңіз. Сертификат сәйкестікті орнатады, ал саясат бұл сәйкестіктің қай қызметтерге жете алатынын әлі де шешеді. Екеуін де тексеріңіз, өйткені дұрыс артефакт тым кең саясатпен бірге де қараудан өтпейді. Клиенттің аутентификацияланатынын және тек мақсатты маршруттарды немесе ресурстарды алатынын растаңыз. Бақылағаныңызды жазыңыз, профиль не істеуі керек болғанын емес.

Дұрыс емес себеппен жұмыс істейтін профиль, мысалы сәйкес келетін жалпы атау және сәйкестікті тексерудің жоқтығы, сізде бар деп ойлаған бақылау алынып тасталғаннан кейін де жұмысын жалғастырады.