Тамыр ачкычсыз VPN сертификаттарын берүүнү өткөрүп берүү

Бирөөгө VPN кардарларын каттоо жөндөмүн берүү жана ага тамыр ачкычтын көчүрмөсүн берүү — эки башка аракет, жана айырма ошол адам кеткенде же ошол ачкыч агып кеткенде гана көрүнөт. Биринчиси сиз көзөмөлдөгөн жумуш агымынын ичиндеги операция берет; экинчиси каалаган жерде, тармаксыз, чексиз убакытка ишеним жаратуу жөндөмүн берет. Кандайдыр бир ачкыч материалына тийүүдөн мурун ишке кайсы керек экенин чечиңиз. Иерархия диаграммасы бул суроого сиз үчүн жооп бербейт.

Каттоо ишин үч суроо катары жазыңыз: ким сурай алат, ким бекитет жана берүүчү компонент эмнеге кол коё алат.

Кандай жөндөм берериңизди чечиңиз

Берүүчү кызмат бекитүү жумуш агымын көрсөтүп, кол кою материалын өзүнчө ээде кармай алат. Оператор түзмөк суроосун бекитет, кызмат саясатты колдонуп, берүүнү жазат, жана катышкандардын эч бири CA ачкычын кармабайт. Уруксат берилген инсандарды, бекитүүчүлөрдү жана кызматтын кол коё алган чегин документтештириңиз; анан анын администрациялоосун ачкычтай эле этият коргогула. Сертификатка кол кою суроосу — суроо, авторизация чечими эмес.

Аппараттык колдоосу бар сактоо ачкычтын көчүрүлүү тобокелдигин өзгөртөт, авторизация зарылдыгын эмес. Экспорттолбойт дегени ачкычты чыгарууга болбойт дегенди билдирет, жана бул кол кою интерфейсин чакыра алган ар кимдин сертификатка укугу бар дегенди билдирбейт. Бул эки касиетти өзүнчө баалаңыз.

Орто сертификат йигарман укукту чектейт

Тамыр күнүмдүк берүү үчүн орто сертификатты күбөлөндүрө алат, ошондуктан кадимки жумуш мындан ары тамыр ачкычка тийбейт, тамырдын өзүнүн кол кою жана калыбына келтирүү жол-жоболору корголгон болсо. Бул реалдуу чек жана бекер эмес: дагы бир сертификат, дагы бир ачкыч, дагы бир жаңыртуу жана кармооғо дагы бир жокко чыгаруу тизмеси. Аны атайын коюлган башкаруу же тобокелдик чегин билдиргенде колдонуңуз. Ар бир администратор үчүн берүүчү түзүү бардык нерсенин көбүрөөгүн өндүрөт жана жумуш агымы мурун бербеген эч нерсени сатып албайт.

VPN текшерүүчүлөрү чынжырды күткөндөй курарын текшериңиз. Чынжыр куруу үчүн орто сертификат жөнөтүү жана аны түздөн-түз ишенимдүү анкер катары орнотуу — ар башка жайгаштыруулар.

pathLen нөл дегени сиз ойлогон нерсе эмес

RFC 5280 4.2.1.9 бөлүмү негизги чектөөлөрдү аныктайт, жана анын жол узундугу талаасы жарактуу жолдо канча өзүн-өзү бербеген орто сертификат келе аларын чектейт. Нөл мааниси мындан ары орто тереңдикти чектейт; ал акыркы субъект сертификаттарынын санын чектебейт. Адамдар муну нөл сертификат уруксат берилген деп окуп, анан берүү эмне үчүн дагы иштеп жатканына таң калышат. Талааны CA үчүн тереңдик чеги катары окуңуз, жана жүрүм-турум алдын ала айкын болот.

Ошол эле бөлүм ишеним анкери жолду текшерүүнүн кириши экенин, жол ичиндеги кадимки сертификат эмес экенин билдирет. Ошондуктан өзүнө кол койгон тамыр үчүн жокко чыгаруу жазуусун жарыялоо аны ар бир кампадан ишенимдүү түрдө алып салбайт.

Жумуштан кетүү ачкычтын бузулушу эмес

Эгер кетүүчү жеке башкаруу аккаунтун гана кармаса, ошол жетүүнү жана анын сессияларын колдоого алынган инсан процесси аркылуу жокко чыгарыңыз, анан анын жараткан аракетин жана бекитүүлөрүн карап чыгыңыз. Мурун берилген кардар сертификаттары алардын бекитүүчүсү кеткендиктен жараксыз болбойт, жана аларды бузулган деп эсептөө чоң, зарыл эмес кайра каттоону жаратат. Аккаунтту өчүрүү да көчүрүлгөн кол кою ачкычын жараксыз кыла албайт, ошондуктан жооп кайсы жөндөм кармалганына байланыштуу.

Орто сертификат бузулганда, анын авторизациясы артка кайтарылып, ал кепилдик берген ар бир инсан алмаштырылышы керек, текшерүүчү колдонгон саясатка ылайык. Тамыр ишеними өз жообун талап кылат, анткени анкер сиз көзөмөлдөбөгөн ишеним кампаларында жашайт.

Долбоорду төрт конкреттүү учур менен кабыл алыңыз: ылайыктуу түзмөк катталат, бекитилбеген суроо четке кагылат, алынып салынган оператор мындан ары бере албайт, жана пенсияга чыккан берүүчү мындан ары жетүү бербейт. Ошол төрт натыйжа — runbook.