OpenVPN에 Easy-RSA가 필요할까? CA를 누가 소유하느냐에 달려 있다

어떤 튜토리얼은 OpenVPN을 설정하기 전에 Easy-RSA를 설치하라고 하며, 그래서 사람들은 둘이 한 묶음이라고 생각합니다. 그렇지 않습니다. Easy-RSA는 OpenSSL을 구동하는 PKI 관리 도구이고, OpenVPN은 터널입니다. 하나는 누구를 신뢰할지 정하고, 다른 하나는 패킷을 옮깁니다.

중요한 비교는 어느 도구가 더 나은가가 아닙니다. 귀하의 조직에서 발급자를 누가 소유하느냐입니다.

Easy-RSA란 실제로 무엇인가

이 프로젝트는 스스로를 X.509 PKI 관리 도구라고 설명하며, 암호 작업은 OpenSSL이 맡습니다. 즉 키 생성, 인증서 요청, 서명 정책, 폐기를 반복 가능한 디렉터리 구조로 감싸는 것입니다. 기존 터널에 암호화 계층을 더하지 않으며, 다른 유능한 도구가 만든 같은 키보다 RSA를 더 강하게 만들지도 않습니다. 이 도구가 하는 일은 워크플로를 감사 가능하게 만드는 것입니다.

그것은 실제 이점이지만 암호학적 이점이 아니라 운영상 이점입니다.

노트북 한 대를 등록 과정에서 따라가 보기

새 노트북은 자체 키를 생성하고 인증서 요청을 제출하므로 개인 키는 기기를 떠나지 않습니다. 발급자는 그 요청을 클라이언트 역할에 맞는 확장을 선택하는 유형으로 서명합니다. Easy-RSA에서는 이것입니다: ./easyrsa sign-req client laptop-a.

운영자는 여전히 이 사람이 접근할 자격이 있는지 결정해야 합니다. 어떤 서명 도구도 일반 이름에서 권한을 추론하지 않습니다.

서명된 인증서는 일치하는 키를 가진 기기로돌아가고, VPN 배포는 서버 신뢰, 신원 확인, 네트워크 정책, 계정 요구 사항을 따로 제공합니다. 발급자의 출력 디렉터리에 있는 파일은 그중 아무것도 증명하지 않습니다. 완료된 핸드셰이크만이 그것을 증명합니다.

같은 노트북이 빠져나가는 과정을 따라가 보기

발급자 선택이 실제로 드러나는 지점은 제거입니다. 쓸 만한 워크플로는 인증서를 식별하고, 폐기를 기록하며, 의존 시스템이 그것을 거부하는 데 필요한 것을 만들어 냅니다. Easy-RSA는 ./easyrsa revoke laptop-a 와 ./easyrsa gen-crl를 분리하며, 두 번째 단계가 사람들이 잊는 단계입니다. 발급자에서 CRL을 생성해도 어떤 VPN 검증자에게도 전달되지 않습니다.

배포, 다시 로드할 때의 동작, 이미 설정된 세션이 어떻게 되는지는 배포 결정이지 도구 기능이 아닙니다.

그 간극이 즉흥적인 openssl 명령 더미 대신 자리 잡은 워크플로를 쓰는 실무적 근거입니다. 발급자 운영에서 어려운 부분은 첫 인증서가 아닙니다. 기기가 들고나는 동안 발급 기록, 백업, 갱신, 제거를 일관되게 유지하는 일입니다.

발급자가 이미 있을 때

조직이 이미 승인된 인증서 서비스를 운영한다면 그것을 통해 등록하십시오. 튜토리얼에 Easy-RSA 명령이 있었다는 이유로 두 번째 CA를 세우면 신뢰 배포 작업, 백업 작업, 그리고 올바로 폐기해야 할 대상이 하나 더 생깁니다.

로컬 발급자는 CA를 운영하겠다는 약속이지 설정 안내서의 체크박스가 아닙니다.

Easy-RSA가 옳은 선택일 때

자체 발급자가 정말 필요한 작은 사설 배포라면 Easy-RSA는 모든 작업을 손으로 조립하지 않고도 초점이 분명한 워크플로를 제공합니다. 원본 Easy-RSA 안내서 는 요청, 서명, 폐기, CRL 단계를 순서대로 다룹니다. CA 서명 자료는 지정된 소유자 곁에 두고, 클라이언트에는 자체 자격 증명과 관련 공개 신뢰가 필요하며, 서명 키의 사본은 절대 아닙니다.

PIN 기반 OpenVPN 설계는 또 하나의 정당한 신뢰 구성이며, 수리를 기다리는 고장 난 PKI가 아닙니다. 그리고 계정 로그인은 선택한 프로토콜에서 서버를 인증해야 할 필요를 없애지 않습니다.

선택하기 전에 네 가지 질문에 답하십시오: 새 신원을 누가 승인하는지, 그 개인 키가 어디에 있는지, 인증서가 어떻게 클라이언트에 도달하는지, 은퇴한 신원이 어떻게 더 이상 받아들여지지 않는지.