VPN кардарын CAны кайра куруу менен кошуу

Дагы бир ноутбук үчүн дагы бир сертификат керек, бирок издөө жыйынтыктарындагы биринчи колдонмо PKI папкасын жок кылган буйрук менен башталат. Ал буйрук биринчи жөндөөгө таандык, каттоого эмес, жана аны иштетүү CAдан, чыгаруу тарыхынан жана эски эмитентке ишенген бардык кардар профилинен ажыратат. Чечим тар: эмитентте дагы эле пайдаланууга жарактуу абал барбы жана жаңы түзмөк каттоо саясатыңызга туура келеби? Үч шарт чечет, бирөө гана кайра курууну актайт.

Кайра куруу чындыгында эмнени жок кылат

PKIни кайра инициализациялоо папканы бош түзүлүш менен алмаштырат: жаңы CA ачкычы жана сертификаты, бош чыгаруу базасы, жаңы сериялык номур эсептегичи. Кардарлар өздөрү ээрчишпейт; алардын профилдери эски CAны бекитет, ошондуктан ар бир түзмөк кайра катталышы керек, жетүү мүмкүн болбогондору кол менен.

Тыныч жоготуу — эсеп. Кайтаруу кайсы сериялык номурларды кимге бергениңизди билүүгө байланыштуу. Индексти тазаласаңыз, кол коё аласыз, бирок калган сертификаттардын кайсынысын кайтаргыңыз келгенин ишенимдүү айта албайсыз. Эмитенттин абалы жок сертификаттарды камтыган CA папкасы — системанын туура эмес жарымын калыбына келтирген камдык көчүрмө.

CAнын жабык ачкычын иштеп жаткан сервердин жанына көчүрүү — баш тартууга татыктуу экинчи кыска жол: тармактан сыртта турушу керек кол коюу органын ишенимсиз трафиги бар хосттогу дагы бир файлга айландырат.

Биринчи шарт: эмитенттин абалы дагы эле жеткиликтүүбү?

Чечим кабыл алуудан мурун сервер чындап ишенген папканы табыңыз. Сервер CA катары сунуштаган сертификатты PKI папкасындагы менен манжа изи боюнча салыштырыңыз, файл аты боюнча эмес:

openssl x509 -in ca.crt -noout -fingerprint -sha256
openssl x509 -in /etc/openvpn/ca.crt -noout -fingerprint -sha256

Издер дал келсе, каттоо кошумча жана эч нерсе кайра курулбайт. Эгер айырмаланса, сервер ишенбеген CA менен кол коёсуз: сертификат таза орнотулуп, кол алышууда ишке ашпайт, жана бул ката сааттар бою кардардын кемчилиги деп туура эмес диагноздолот.

Андан кийин чыгаруу абалын издеңиз: индекс файлы, серия эсептегичи жана CRL номурунун файлы. Индекс жок болсо да ачкыч калса, чыгара аласыз, бирок кайтарууну каттоо маселесин мураска аласыз. Аны өзгөртүүлөр журналына жазыңыз, анткени кийинки кайтаруу суроосу аны ачат.

Экинчи шарт: жаңы жабык ачкыч кимде?

Бул — колдонуучулар сезген чечим, ошондуктан ачык кабыл алыңыз. Кардарда түзүлүп, суроо катары жөнөтүлгөн ачкыч жабык бөлүгүн биринчи буйруктан тартып түзмөктө калтырат жана администратор ага эч качан тийбейт. Серверде түзүлгөн ачкыч куралсыз түзмөктөргө оңой, бирок администраторду ар бир ачкычтын сактоочусу кылат жана сервердин бузулушунун таасирин кеңейтет.

Учурдагы CAга каршы Easy-RSA 3 менен суроону импорттоо жана кол коюу — эки буйрук:

./easyrsa import-req /tmp/alice.req alice
./easyrsa sign-req client alice

Сертификаттын түрүн атайын тандаңыз. Кардардын ордуна сервер сертификаты катары кол коюлган суроо жакшы көрүнгөн, бирок өнөктөш кабыл албаган файл берет, ал эми ката билдирүүсү себебин сейрек айтат. openssl ca менен кол койсоңуз, ошол эле тандоо сиз берген кеңейтүүлөрдө, демейки бөлүмдө эмес.

Үчүнчү шарт: серверге сертификаттан көбүрөөк керекпи?

Сертификаттык аутентификациясы бар кадимки OpenVPN сервери үчүн сертификат — каттоонун өзү: жалпы ат кардардын идентитетине айланат, ал эми ар кандай папка, жиберилген маршрут же статикалык дарек ошол атка байланышат. Сертификатты кошуп, конфигурацияны унутуп калсаңыз, туннель туташат, бирок керектүү маршруттар көрүнбөйт.

Платформалар муну өзгөртөт. OpenVPN Access Server өз колдонуучулар базасын кармайт, ошондуктан кол коюлган сертификат аккаунт эмес; аккаунт болушу жана уруксат берилиши керек. Башка дарбазалар идентитетти топко байланыштырат. Бир түзмөктү каттоо адатта эки системаны тийет, ал эми сертификат биринчиси гана.

Кошумча жол-жобо жана кайра куруу качан туура

Зыянсыз бир түзмөк кошкон тартип: эмитентти манжа изи менен ырастаңыз, PKI папкасынын жаңы камдык көчүрмөсүн алыңыз, кардар ролу үчүн суроону импорттоп кол коюңуз, сертификатты чынжыры менен бекитилген канал аркылуу бериңиз, анан колдонуучу туташканга чейин текшериңиз:

openssl verify -CAfile ca.crt alice.crt
openssl x509 -in alice.crt -noout -subject -issuer -dates -purpose

Максат сабы SSL client көрсөтүшү керек. Чыгаруудан кийин CA камдык көчүрмөсүн жаңыртып бүтүрүңүз, анткени жаңы сериялык номур жазылганга чейин алынган көчүрмө жаңы кошулган түзмөксүз абалды калыбына келтирет.

Кайра куруу үч учурда туура: CA ачкычы бузулган, чыгаруу абалы кайтарылгыс жоголгон же ачкыч алгоритмин же сертификат саясатын атайын өзгөртөсүз. Үчөө тең ар бир кардарды кайра каттоо планын талап кылган долбоорлор, бир түзмөк суроосунун кадамдары эмес. Эч бири туура келбесе, кошумча түрдө каттаңыз.