VPN сертификаттарының түгендеуі: CA тізілімі нені дәлелдей алады
Сервердегі қалта, CA тізілімі, кері қайтару тізімі және сессия кестесі әртүрлі сұрақтарға жауап береді. VPN сәйкестіктерін түгендеу кезінде оларды бөлек ұстаңыз.
Сіздің шлюзіңіз ешқашан көрмеген клиент сертификатын қабылдайды, өйткені ол конфигурацияланған нәрсе — сенімді шығарушы, ал сертификат қол алысу кезінде келеді. Протокол осылай жұмыс істеуі керек, сондықтан сервердегі қалта тізімі нашар түгендеу болып табылады. Шығарушы не жасағанын біледі, сервер не қосылғанын біледі, ал кері қайтару күйі ненің қайтарылғанын біледі. Осы үш жазбаны араластыратын түгендеу ақырында олардың ешқайсысы айтпаған нәрсені тұжырымдайды.
Шлюз файлдар тізіміне емес, шығарушыға сенеді
Валидация ұсынылған сертификатты сенім тірегімен салыстырады, сондықтан сол шығарушы кеше жасаған сәйкестік сервердің дискісінде ешқашан болмаса да қосылады. Бұл үшін ештеңе көшірудің қажеті жоқ және ешкім оны қолмен бекітпейді. Осылайша, сервердің өз жазбалары келулерді сипаттайды, келе алатын сәйкестіктер жиынтығын емес.
Керісінше алшақтық та соншалықты қолайсыз. Қалтада мерзімі өткен сертификаттар, кері қайтарылғандар және ешқашан орналастырылмаған құрылғыларға берілген сәйкестіктер болуы мүмкін. Файлдарды санау қанша файл бар екеніне жауап береді, бұл ешкім қоймаған сұрақ. Оның орнына мағына беретін жазбалардан бастаңыз.
Төрт сұрақ, төрт түрлі жазба
Жазбаның әр түрі бір сұраққа жақсы, қалғандарына нашар жауап береді, сондықтан оларды біріктіретін есеп толық көрінеді, бірақ белгілі бір түрде қате. Төмендегі кесте оларды өндіретін жүйе бойынша емес, шешетін сұрағы бойынша реттейді.
| Question you are answering | Where the answer lives | How quickly it changes | What it will never show |
|---|---|---|---|
| Was this identity ever created? | The issuer's issuance database | Only when something is issued | Whether the device still exists |
| Is a copy sitting on this host? | The paths you actually inspected | Whenever anyone copies files | Certificates that were never copied here |
| Has the issuer withdrawn it? | Published revocation state | When the issuer next publishes | Withdrawals that are not published yet |
| Is it connected right now? | The live session table | Continuously | Anything about past or future sessions |
Жария сертификаттар мұрағаты құпия емес, өйткені онда жеке кілттер жоқ, бірақ оны бөлісуге де болмайды. Субъектілер мен құрылғы атаулары операциялық мәліметтерді ашады, ал есеп оны қажет ететін аудиторияда қалуы керек. Жеке кілттер түгендеуден толығымен тыс қалады, өйткені түгендеуге куәліктер емес, метадеректер қажет.
Шығарушы мен сериялық нөмір — жалғыз тұрақты кілт
Субъектілер қайта өңделеді және файл атаулары қайта пайдаланылады, сондықтан былтыр бір құрылғыны белгілеген атау қазір басқасын белгілеуі мүмкін. Екеуі де кілт емес, ал солардың біріне негізделген есеп ақырында екі сәйкестікті бір жолға біріктіреді.
Шығарушы мен сериялық нөмір жұбы сертификатты бірегей анықтайды және екі өріс те сертификаттың өзінен алынады. Оларды субъектімен, жарамдылық күндерімен, көшірменің келген көзімен және жауапты адаммен немесе құрылғымен бірге жазып алыңыз. Кері қайтару және орналастыру күйін өз бақылау уақыттары бар жеке өрістер ретінде қосыңыз, өйткені жарамдылық терезесі ішіндегі сертификат автоматты түрде уәкілетті емес. Бұл екі факт әртүрлі жүйелерде өмір сүреді және оларды біріктіру файлы әлі күнге дейін өзекті болып көрінетін сәйкестіктің қайтарылған жағдайын жасырады.
Бір сертификатты бір уақытта оқыңыз
Қалта бойынша таралатын жабайы карта топтама интерфейсі емес және қай файл қай шығыс бергенін жасырады. Метадеректерді әр сертификат бойынша оқыңыз, ал кері қайтару жағын оның өз артефактісінен оқыңыз. OpenSSL x509 анықтамалығы осы опциялар басып шығаратын өрістерді тізімдейді.
openssl x509 -in <cert>.pem -noout -issuer -serial -subject -dates -fingerprint -sha256
openssl crl -in <issuer>.crl -noout -text | head -n 40Басқарылатын Easy-RSA PKI үшін шығару дерекқорынан құрал қолдайтын жұмыс ағыны арқылы сұраңыз қалта құрылымын болжаудың орнына, және түгендеу жиналып жатқанда түпнұсқаларды тек оқуға арналған күйде ұстаңыз. Тізілім пішімі жеткілікті түрде тұрақты, сондықтан дерекқорды қолмен ашпай-ақ жарамды жазбаларды санап, қайтарылғандарды тізімдеуге болады.
grep -c '^V' pki/index.txt
grep '^R' pki/index.txt | cut -f4,5Келесі шығарылымға төтеп беретін түгендеу
Қалтаның бір реттік құйылуы келесі сертификат шығарылған сәтте ескіреді, сондықтан есепті шығару жұмыс ағынынан құрып, қалыпты жұмыстың бөлігі ретінде жаңартылуына жол беріңіз. Бұл есепті қайта өндіруге де қолайлы етеді, бұл екі адам ненің шығарылғаны туралы келіспегенде маңызды.
Нәтижені жаңарту және пайдаланудан шығару шешімдері үшін қолданыңыз, электрондық кесте жаттығуы ретінде емес. Жергілікті көшірмені жою бұрыннан бар қашықтағы көшірмелерді жоймайды. Сәйкестікті конфигурацияланған кері қайтару және авторизациялау жұмыс ағыны арқылы кері қайтарыңыз, содан кейін қайтаруды күнімен жазып алыңыз. Серверден жоғалып кеткен, бірақ шығарушы әлі сенетін сәйкестік пайдаланудан шығарылмаған, және дәл осы айырмашылық дәл түгендеуді тек тыныштандыратын түгендеуден бөледі.