OpenVPN ಪೀರ್ ಸಾಧನಗಳಿಗೆ ನಿಮ್ಮ ಅಸ್ತಿತ್ವದಲ್ಲಿರುವ ಎಂಟರ್‌ಪ್ರೈಸ್ CA ಬಳಸಿ

OpenVPN ನಲ್ಲಿ ಯಾವುದೂ ಸರ್ಟಿಫಿಕೇಟ್ Easy-RSA ಯಿಂದ ಬರಬೇಕೆಂದು ಒತ್ತಾಯಿಸುವುದಿಲ್ಲ, ಮತ್ತು ಈಗಾಗಲೇ ಸಾಂಸ್ಥಿಕ PKI ಹೊಂದಿರುವ ಫ್ಲೀಟ್ ಸಾಮಾನ್ಯವಾಗಿ ಎರಡನೆಯದನ್ನು ನಿರ್ಮಿಸಬಾರದು. ನಿಜವಾದ ಕೆಲಸ ಸಾಧನವನ್ನು ಆಯ್ಕೆ ಮಾಡುವುದಲ್ಲ, ಬದಲಿಗೆ ನೀಡಲಾದ ಗುರುತುಗಳ ಅರ್ಥವೇನು, ಟನೆಲ್ ಯಾವ ಪೀರ್‌ಗಳನ್ನು ಸ್ವೀಕರಿಸುತ್ತದೆ, ಮತ್ತು ನವೀಕರಣ ಹಾಗೂ ರದ್ದತಿ ಪರಿಶೀಲಕರನ್ನು ಹೇಗೆ ತಲುಪುತ್ತವೆ ಎಂಬುದನ್ನು ನಿರ್ಧರಿಸುವುದು. ಕೆಳಗಿನ ಐದು ಹಂತಗಳನ್ನು ಕ್ರಮವಾಗಿ ಪೂರ್ಣಗೊಳಿಸಿ, ಏಕೆಂದರೆ ನಂತರದ ಹಂತವು ಮೊದಲನೆಯದರಲ್ಲಿ ತೆಗೆದುಕೊಂಡ ಪಾತ್ರದ ನಿರ್ಣಯವನ್ನು ಸರಿಪಡಿಸಲಾರದು.

ಒಂದೇ ಹಂಚಿದ ಗುರುತಿನ ಬದಲು ಎರಡು ಪಾತ್ರಗಳನ್ನು ನೀಡಿ

ಪ್ರತಿ ಪೀರ್‌ಗೆ ಸ್ವಂತ ಸರ್ಟಿಫಿಕೇಟ್ ಮತ್ತು ಅದಕ್ಕೆ ಹೊಂದುವ ಖಾಸಗಿ ಕೀಲಿ ಬೇಕು. PKI ತಂಡವನ್ನು ಸರ್ವರ್ ಬಳಕೆಯನ್ನು ಹೊತ್ತ ಸರ್ವರ್ ಗುರುತು ಮತ್ತು ಕ್ಲೈಂಟ್ ಬಳಕೆಯನ್ನು ಹೊತ್ತ ಪ್ರತ್ಯೇಕ ಕ್ಲೈಂಟ್ ಗುರುತುಗಳನ್ನು ಕೇಳಿ, ಟನೆಲ್ ಕೈಕುಲುಕುವ ಸಮಯದಲ್ಲಿ ಎರಡನ್ನೂ ಪ್ರತ್ಯೇಕಿಸಲು ಸಾಧ್ಯವಾಗುವಂತೆ.

ಗಡುವಿನ ಒತ್ತಡದಲ್ಲಿ ಕಾಣಿಸಿಕೊಳ್ಳುವ ಷಾರ್ಟ್‌ಕಟ್‌ಗಳನ್ನು ಎದುರಿಸಿ. ವೆಬ್ ಸರ್ವರ್‌ನ ಕೀಲಿಯನ್ನು ಲ್ಯಾಪ್‌ಟಾಪ್‌ಗಳಿಗೆ ನಕಲಿಸುವುದು ಪಾತ್ರ ಪರಿಶೀಲನೆ ಅವಲಂಬಿಸಿರುವ ಭೇದವನ್ನು ಅಳಿಸಿಹಾಕುತ್ತದೆ, ಮತ್ತು VPN ಎಂಡ್‌ಪಾಯಿಂಟ್‌ನಲ್ಲಿ ಸ್ಥಾಪಿಸಿದ CA ಸಹಿ ಕೀಲಿ ಒಂದು ರಾಜಿಗೊಳಗಾದ ಹೋಸ್ಟ್ ಅನ್ನು ರಾಜಿಗೊಳಗಾದ ಶ್ರೇಣಿಯಾಗಿ ಪರಿವರ್ತಿಸುತ್ತದೆ. PKCS12 ಬಂಡಲ್ ಎಂಡ್‌ಪಾಯಿಂಟ್ ಕೀಲಿ ಮತ್ತು ಅದರ ಸರಣಿಯನ್ನು ಹೊತ್ತುಕೊಳ್ಳಬಹುದು, ಆದರೆ ಆ ಗುರುತನ್ನು ಇನ್ನೊಂದು ಪಾತ್ರದಲ್ಲಿ ಮರುಬಳಕೆ ಮಾಡಲು ಎಂದಿಗೂ ಅನುಮತಿ ನೀಡುವುದಿಲ್ಲ.

ಪ್ರತಿ ಬದಿಯಲ್ಲಿ ನಂಬಿಕೆಯ ಇನ್‌ಪುಟ್‌ಗಳನ್ನು ಸಂಪರ್ಕಿಸಿ

ಕ್ಲೈಂಟ್ ಮತ್ತು ಸರ್ವರ್ ಪ್ರತಿಯೊಂದೂ ನಂಬಿಕೆಯ ಆಂಕರ್, ತಮ್ಮದೇ ಗುರುತು ಮತ್ತು ಸ್ಪಷ್ಟ ಪಾತ್ರ ನಿರೀಕ್ಷೆಯನ್ನು ಬೇಕು. ಮೂರನ್ನೂ ತಿಳಿಸುವ ಕ್ಲೈಂಟ್ ತುಣುಕು ಹೀಗೆ ಕಾಣುತ್ತದೆ.

client
ca /etc/openvpn/pki/issuing-root.pem
cert /etc/openvpn/pki/device-17.crt
key /etc/openvpn/pki/device-17.key
remote-cert-tls server
verify-x509-name vpn.corp.example name
crl-verify /etc/openvpn/pki/issuing.crl

ಸರ್ವರ್ ಬದಿ remote-cert-tls client ಮತ್ತು ತನ್ನದೇ ಸರ್ಟಿಫಿಕೇಟ್‌ನೊಂದಿಗೆ ಅದನ್ನು ಪ್ರತಿಬಿಂಬಿಸುತ್ತದೆ, ಮತ್ತು ಇದೇ ಕ್ಲೈಂಟ್ ಸರ್ಟಿಫಿಕೇಟ್ ಅನ್ನು ಸರ್ವರ್ ಆಗಿ ಸ್ವೀಕರಿಸುವುದನ್ನು ತಡೆಯುತ್ತದೆ. ಹೆಸರಿನ ಪರಿಶೀಲನೆ ಪಾತ್ರ ಪರಿಶೀಲನೆಯಿಂದ ಪ್ರತ್ಯೇಕ ನಿರ್ಣಯ. ಬ್ರೌಸರ್ ಶೈಲಿಯ ಹೋಸ್ಟ್‌ಹೆಸರು ಹೊಂದಾಣಿಕೆಯನ್ನು ಊಹಿಸುವ ಬದಲು ಯಾವ ಕ್ಷೇತ್ರವನ್ನು ಹೋಲಿಸಲಾಗುತ್ತದೆ ಎಂದು ನೋಡಲು ಸ್ಥಾಪಿತ ಸಂರಚನೆಯನ್ನು ಓದಿ. ಎರಡೂ ಬದಿಗಳು ತಾವು ಯಾವ ನೀಡುಗರನ್ನು ನಂಬುತ್ತವೆ ಎಂಬುದನ್ನು ಸ್ಪಷ್ಟಪಡಿಸಬೇಕು, ಏಕೆಂದರೆ ಫ್ಲೀಟ್‌ನಾದ್ಯಂತ ಹಂಚಿದ ಫೈಲ್ ಮಾರ್ಗವು ಹಂಚಿದ ನೀತಿಗೆ ಸಮಾನವಲ್ಲ.

ನಂಬಿಕೆಯನ್ನು ವಿಸ್ತರಿಸದೆ ಮಧ್ಯವರ್ತಿ ಸರ್ಟಿಫಿಕೇಟ್‌ಗಳನ್ನು ನೀಡಿ

ಎರಡೂ ಬದಿಗಳು ಒಂದೇ ನೀಡುವ ಸರಣಿಯನ್ನು ಹಂಚಿಕೊಳ್ಳಬೇಕಿಲ್ಲ. ಪೀರ್ ಮಧ್ಯವರ್ತಿಯಿಂದ ಸಹಿ ಮಾಡಿದ ಸರ್ಟಿಫಿಕೇಟ್ ಅನ್ನು ಪ್ರಸ್ತುತಪಡಿಸಿದಾಗ, ಪರಿಶೀಲಿಸುವ ಬದಿಗೆ ಆ ಮಧ್ಯವರ್ತಿ ಲಭ್ಯವಿರಬೇಕು, ಮತ್ತು OpenVPN ನಂಬಿಕೆಯ ಆಂಕರ್ ಇನ್‌ಪುಟ್ ಅನ್ನು ಸ್ಥಳೀಯವಾಗಿ ಪ್ರಸ್ತುತಪಡಿಸಿದ ಸರಣಿಯನ್ನು ಪೂರ್ಣಗೊಳಿಸಲು ಬಳಸುವ ಹೆಚ್ಚುವರಿ ಸರ್ಟಿಫಿಕೇಟ್‌ಗಳಿಂದ ಪ್ರತ್ಯೇಕಿಸುತ್ತದೆ. OpenVPN 2.6 ರ TLS ಆಯ್ಕೆ ಉಲ್ಲೇಖ ಎರಡನ್ನೂ ದಾಖಲಿಸುತ್ತದೆ.

ಮಧ್ಯವರ್ತಿ CA ತಾನೇ ಸಮಸ್ಯೆಯಲ್ಲ, ಆದರೆ ನಂಬಿಕೆಯ ಬಂಡಲ್‌ಗೆ ಎಸೆದ ವಿಶಾಲ ಎಂಟರ್‌ಪ್ರೈಸ್ ಮೂಲ ಸಮಸ್ಯೆ. ಆಂಕರ್ ಎಷ್ಟು ವಿಶಾಲವೋ, ಅಷ್ಟು ಹೆಚ್ಚು ಸರ್ಟಿಫಿಕೇಟ್‌ಗಳು ಸರಣಿ ಪರೀಕ್ಷೆಯನ್ನು ಪಾಸ್ ಮಾಡುತ್ತವೆ, ಮತ್ತು ಪಾತ್ರ ಪರಿಶೀಲನೆ ಅದನ್ನು ಅಧಿಕೃತ ಸಿಬ್ಬಂದಿ ಪಟ್ಟಿಯಾಗಿ ಪರಿವರ್ತಿಸುವುದಿಲ್ಲ. ಶ್ರೇಣಿ ಅನುಮತಿಸುವಲ್ಲಿ ಆಂಕರ್ ಅನ್ನು ವಾಸ್ತವವಾಗಿ VPN ಗುರುತುಗಳಿಗೆ ಸಹಿ ಮಾಡುವ ನೀಡುಗರಿಗೆ ಸಂಕುಚಿತಗೊಳಿಸಿ. ಅನುಮತಿಸದಿದ್ದರೆ, ವಿಶಾಲ ಆಂಕರ್ ಅನ್ನು ಗುಪ್ತವಾಗಿ ಬಿಡುವ ಬದಲು ಉದ್ದೇಶಪೂರ್ವಕವಾಗಿ ಸ್ವೀಕರಿಸಿದ ಅಪಾಯವಾಗಿ ದಾಖಲಿಸಿ.

ನವೀಕರಣ ಮತ್ತು ರದ್ದತಿ VPN ಪರಿಶೀಲಕರನ್ನು ಹೇಗೆ ತಲುಪುತ್ತವೆ, ಯಾವ ನೀಡುಗರು ಮುಖ್ಯ ಮತ್ತು ಪಟ್ಟಿಯನ್ನು ಯಾರು ಪ್ರಕಟಿಸುತ್ತಾರೆ ಎಂಬುದನ್ನು ಒಳಗೊಂಡಂತೆ PKI ತಂಡದೊಂದಿಗೆ ಒಪ್ಪಿಕೊಳ್ಳಿ. ಸರ್ಟಿಫಿಕೇಟ್‌ನಲ್ಲಿ ಹುದುಗಿಸಿದ CRL ವಿತರಣಾ ಬಿಂದು ಸೂಚನೆಯೇ ಹೊರತು ಯಾವುದೋ ಅದನ್ನು ತಂದಿತು ಎಂಬ ಸಾಕ್ಷ್ಯವಲ್ಲ.

ರದ್ದತಿ ವಾಸ್ತವವಾಗಿ ಹೇಗೆ ಬರುತ್ತದೆ ಎಂಬುದನ್ನು ನಿರ್ಧರಿಸಿ

crl-verify ಪರಿಶೀಲಕನನ್ನು ಫೈಲ್ ಅಥವಾ ಎಂಡ್‌ಪಾಯಿಂಟ್‌ಗೆ ಸಂಪರ್ಕಿಸುವಂತೆ ಮಾಡುತ್ತದೆ, ಮತ್ತು ಆ ವ್ಯವಸ್ಥೆಗೆ ಮಾಲೀಕ ಮತ್ತು ರಿಫ್ರೆಶ್ ಮಾರ್ಗ ಬೇಕು. ನಿಯೋಜನೆಯ ಸಮಯದಲ್ಲಿ ಒಮ್ಮೆ ನಕಲಿಸಿದ ಪಟ್ಟಿ ಸರ್ಟಿಫಿಕೇಟ್ ಮೊದಲ ಬಾರಿ ರದ್ದಾದಾಗ ಮೌನವಾಗಿ ನಿಮ್ಮನ್ನು ರಕ್ಷಿಸುವುದನ್ನು ನಿಲ್ಲಿಸುತ್ತದೆ.

ನಿರೀಕ್ಷಿತ ಹರಡುವಿಕೆ ಸಮಯವನ್ನು ಬರೆದಿಡಿ ಮತ್ತು ರದ್ದು ಮಾಡಲು ಸಿದ್ಧವಿರುವ ಸರ್ಟಿಫಿಕೇಟ್‌ನೊಂದಿಗೆ ಪರೀಕ್ಷಿಸಿ. VPN ಹೋಸ್ಟ್‌ನಲ್ಲಿ ಪಟ್ಟಿಯನ್ನು ರಿಫ್ರೆಶ್ ಮಾಡಲು ಸಾಧ್ಯವಾಗದಿದ್ದರೆ, ಪರ್ಯಾಯ ಚಿಕ್ಕ ಮಾನ್ಯತಾ ಅವಧಿ ಜೊತೆಗೆ ನಿಜವಾಗಿ ಚಲಿಸುವ ನವೀಕರಣ ಪ್ರಕ್ರಿಯೆ, URL ಇದೆ ಎಂದು ರದ್ದತಿ ಕೆಲಸ ಮಾಡುತ್ತದೆ ಎಂಬ ಊಹೆಯಲ್ಲ.

ನಿಜವಾದ ಕ್ಲೈಂಟ್‌ನೊಂದಿಗೆ ಸ್ವೀಕೃತಿಯನ್ನು ಸಾಬೀತುಪಡಿಸಿ

ಅನುಮತಿ ಪಡೆಯಬೇಕಾದ ಕ್ಲೈಂಟ್ ಅನ್ನು ಸಂಪರ್ಕಿಸಿ ಮತ್ತು ಲಾಗ್‌ನಲ್ಲಿ ಸಮಾಲೋಚಿಸಿದ ಸರ್ಟಿಫಿಕೇಟ್ ವಿವರಗಳನ್ನು ದೃಢೀಕರಿಸಿ. ನಂತರ ವಿಫಲವಾಗಬೇಕಾದ ಪ್ರಕರಣಗಳನ್ನು ಪ್ರಯತ್ನಿಸಿ: ಸರ್ವರ್ ಆಗಿ ಪ್ರಸ್ತುತಪಡಿಸಿದ ಕ್ಲೈಂಟ್ ಸರ್ಟಿಫಿಕೇಟ್, ನಂಬಿಕೆಯ ಆಂಕರ್‌ನ ಹೊರಗಿನ ನೀಡುಗರ ಸರ್ಟಿಫಿಕೇಟ್, ಮತ್ತು ಹೆಚ್ಚುವರಿ ಇದ್ದರೆ ರದ್ದಾದ ಸರ್ಟಿಫಿಕೇಟ್.

ಸ್ವೀಕರಿಸಿದ ನೀಡುಗ, ಪಾತ್ರ ಪರಿಶೀಲನೆ ಮತ್ತು ರದ್ದತಿಯ ಮೂಲವನ್ನು ಪ್ರೊಫೈಲ್‌ನ ಪಕ್ಕದಲ್ಲಿ ದಾಖಲಿಸಿ. ಆ ದಾಖಲೆಯೇ ಕಳೆದ ತಿಂಗಳು ಕೆಲಸ ಮಾಡಿದ ಸಾಧನ ಸಂಪರ್ಕಿಸುವುದನ್ನು ನಿಲ್ಲಿಸಿದಾಗ ಮುಂದಿನ ಇಂಜಿನಿಯರ್‌ಗೆ ಬೇಕಾಗುತ್ತದೆ, ಮತ್ತು ಎಂಟರ್‌ಪ್ರೈಸ್ CA ಸಾಮಾನ್ಯ ಉದ್ದೇಶದ ನಂಬಿಕೆ ಡಂಪ್ ಆಗಿ ಅಲ್ಲದೆ ದಾಖಲಿತ ಸ್ವೀಕೃತಿ ಗಡಿಯ ಒಳಗೆ ಬಳಕೆಯಾಗುತ್ತಿದೆ ಎಂಬುದಕ್ಕೂ ಇದು ಸಾಕ್ಷ್ಯ.