OpenVPN үчүн Easy-RSA керекпи? Бул CA кимге таандык экенине жараша

Бир окуу куралы OpenVPN-ди жөндөөдөн мурун Easy-RSA орнотууну айтат, ошондуктан адамдар экөө бир топтом деп ойлошот. Андай эмес. Easy-RSA — OpenSSLди башкарган PKI башкаруу куралы; OpenVPN — туннель. Бирөө кимге ишенүүнү чечет, экинчиси пакеттерди жылдырат.

Маанилүү салыштыруу кайсы курал жакшы дегенде эмес. Сиздин уюмда чыгаруучу кимге таандык дегенде.

Easy-RSA чындыгында эмне

Долбоор өзүн X.509 PKI башкаруу куралы деп сүрөттөйт, криптографиялык ишти OpenSSL аткарат. Бул ачкыч жаратууну, сертификат сурамдарын, кол коюу саясатын жана кайтарып алууну кайталануучу каталог түзүмүнө ороп берерин билдирет. Ал бар болгон туннелге шифрлоо катмарын кошпойт жана RSAни башка билимдүү курал жараткан ошол эле ачкычтан күчтүү кылбайт. Анын кылганы — иш агымын текшерүүгө мүмкүн кылуу.

Бул чыныгы пайда, бирок криптографиялык эмес, операциялык пайда.

Бир ноутбукту каттоо учурунда байкап көрүңүз

Жаңы ноутбук өз ачкычын жаратып, сертификат сурамын жөнөтөт, ошондуктан жеке ачкыч түзмөктөн эч качан чыкпайт. Андан соң чыгаруучу бул сурамга кардар ролу үчүн туура кеңейтүүлөрдү тандаган түр менен кол коёт. Easy-RSAда бул — ./easyrsa sign-req client laptop-a.

Оператор бул адамдын уруксатка татыктуу экенин дагы деле чечүүсү керек. Эч бир кол коюу куралы жалпы аттан укук чыгарбайт.

Кол коюлган сертификат туура келген ачкычы бар түзмөккө кайтат, ал эми VPN жайгаштыруу сервер ишенимин, инсанды текшерүүнү, тармак саясатын жана эсеп талаптарын өзүнчө камсыз кылат. Чыгаруучунун чыгуу каталогундагы файл алардын эч бирин далилдебейт. Муну тек аяктаган кол алышуу далилдейт.

Ошол эле ноутбуктун чыгып кетишин байкаңыз

Чыгаруучуну тандоо чындап көрүнгөн жер — алып салуу. Пайдаланууга жарактуу иш агымы сертификатты аныктайт, кайтарып алууну жазат жана ага таянган системаларга аны четке кагуу үчүн керектүүнү өндүрөт. Easy-RSA ./easyrsa revoke laptop-a менен ./easyrsa gen-crl ортосун ажыратат, ал эми экинчи кадам — адамдар унута турган кадам. Чыгаруучуда CRL жаратуу аны эч бир VPN текшерүүчүсүнө жеткирбейт.

Таратуу, кайра жүктөө жүрүм-туруму жана мурунтан түзүлгөн сессиялар менен эмне болору — жайгаштыруу чечимдери, куралдын функциялары эмес.

Ошол ажырым — орношкон иш агымынын пайдасына ad hoc openssl буйруктарынын үймөгүнө каршы практикалык далил. Чыгаруучуну башкаруунун кыйын бөлүгү биринчи сертификат эмес. Түзмөктөр келип-кеткенде чыгарым жазууларын, камдык көчүрмөлөрдү, жаңыртууларды жана алып салууларды ырааттуу кармоо.

Чыгаруучу мурунтан бар болгондо

Эгер уюмуңуз мурунтан бекитилген сертификат кызматын башкарса, ошонун аркылуу катталыңыз. Окуу куралында Easy-RSA буйруктары болгондуктан экинчи CA куруу ишенимди таратуу ишин, камдык көчүрмө ишин жана туура кайтарып алууну талап кылган дагы бир нерсени жаратат.

Жергиликтүү чыгаруучу — CA башкарууга милдеттенме, жөндөө нускамасындагы белги кутучасы эмес.

Easy-RSA качан туура тандоо

Чын эле өз чыгаруучусу керек болгон чакан жеке жайгаштыруу үчүн Easy-RSA ар бир операцияны кол менен чогултпастан багытталган иш агымын берет. Easy-RSAнын баштапкы нускамасы сурам, кол коюу, кайтарып алуу жана CRL кадамдарын ирети менен камтыйт. CAнын кол коюу материалын анын дайындалган ээсинде кармаңыз; кардарларга өзүнүн эсептик маалыматы жана тиешелүү ачык ишеним керек, кол коюу ачкычынын көчүрмөсү эч качан.

PINге негизделген OpenVPN дизайны — ишенимдин дагы бир мыйзамдуу тартиби, оңдоону күткөн бузулган PKI эмес. Ал эми эсепке кирүү тандаган протоколуңуз боюнча серверди аутентификациялоо зарылдыгын жойбойт.

Тандоодон мурун төрт суроого жооп бериңиз: жаңы инсанды ким бекитет, анын жеке ачкычы кайда жашайт, сертификат кардарга кантип жетет жана пенсияга чыккан инсан кантип кабыл алынбай калат.