OpenVPN өнөктөштөрү үчүн бар болгон ишкана CA колдонуңуз

OpenVPN-дө эч нерсе сертификаттын Easy-RSA дан келишин талап кылбайт, жана уюштуруучулук PKI бар парк адатта экинчисин курууга тийиш эмес. Чыныгы иш курал тандоо эмес, чыгарылган инсандыктар эмнени билдирерин, туннел кайсы өнөктөштөрдү кабыл аларын жана жаңыртуу менен жокко чыгаруу текшерүүчүгө кантип жетээрин чечүү. Төмөнкү беш кадамды тартиби менен аткарыңыз, анткени кийинки кадам биринчисинде кабыл алынган ролдук чечимди оңдой албайт.

Бир жалпы инсандыктын ордуна эки рол чыгарыңыз

Ар бир өнөктөшкө өзүнүн сертификаты жана тиешелүү жеке ачкычы керек. PKI тобунан сервердик колдонуу менен сервер инсандыгын жана кардардык колдонуу менен өзүнчө кардар инсандыктарын сураңыз, туннел кол алышуу учурунда экөөнү ажырата алышы үчүн.

Мөөнөт басымы астында пайда болгон кыска жолдорго каршы туруңуз. Веб-сервердин ачкычын ноутбуктарга көчүрүү ролдук текшерүү таянган айырманы жок кылат, ал эми VPN четки чекитине орнотулган CA кол коюу ачкычы бир бузулган хостту бузулган иерархияга айландырат. PKCS12 бумасы четки чекит ачкычын жана анын тизмегин алып жүрө алат, бирок ал ошол инсандыкты башка рольдо кайра колдонууга эч качан уруксат бербейт.

Ар бир тарапта ишеним киргизүүлөрүн туташтырыңыз

Кардар менен сервердин ар бирине ишеним тиреги, өз инсандыгы жана ачык ролдук күтүү керек. Үчөөнү тең көрсөткөн кардар үзүндүсү мындай көрүнөт.

client
ca /etc/openvpn/pki/issuing-root.pem
cert /etc/openvpn/pki/device-17.crt
key /etc/openvpn/pki/device-17.key
remote-cert-tls server
verify-x509-name vpn.corp.example name
crl-verify /etc/openvpn/pki/issuing.crl

Сервер тарабы муну remote-cert-tls client жана өзүнүн сертификаты менен чагылдырат, жана дал ушул кардар сертификатын сервер катары кабыл алууга жол бербейт. Атты текшерүү ролдук текшерүүдөн өзүнчө чечим. Браузер стилиндеги хост атынын дал келишин болжолдоонун ордуна кайсы талаа салыштырыларын көрүү үчүн жайгаштырылган конфигурацияны окуңуз. Эки тарап тең кайсы чыгаруучуга ишенерин ачык айтышы керек, анткени парк боюнча жалпы файл жолу жалпы саясат менен бирдей эмес.

Ишенимди кеңейтпей орто сертификаттарды жеткириңиз

Эки тарап бир чыгаруу тизмегин бөлүшүүгө милдеттүү эмес. Өнөктөш орто сертификат менен кол коюлган сертификатты сунуштаганда, текшерүүчү тарапка ошол орто сертификат жеткиликтүү болушу керек, жана OpenVPN ишеним тирегинин киргизүүсүн жергиликтүү сунушталган тизмекти бүтүрүү үчүн колдонулган кошумча сертификаттардан ажыратат. OpenVPN 2.6 TLS параметрлеринин маалымдамасы экөөнү тең документтештирет.

Орто CA өзү менен өзү көйгөй эмес, бирок ишеним бумасына ыргытылган кенен ишкана тамыры көйгөй. Тирек канчалык кенен болсо, тизмек сынагынан ошончолук көп сертификат өтөт, ал эми ролдук текшерүү муну ыйгарым укуктуу кызматкерлердин тизмесине айландырбайт. Иерархия уруксат берген жерде тиректи VPN инсандыктарына чындап кол койгон чыгаруучуга чейин куушуруңуз. Эгер уруксат бербесе, кенен тиректи жашыруун калтыруунун ордуна атайын кабыл алынган тобокелдик катары документтештириңиз.

PKI тобу менен жаңыртуу жана жокко чыгаруу VPN текшерүүчүлөрүнө кантип жетерин, кайсы чыгаруучулар маанилүү жана тизмени ким жарыялайрын макулдашыңыз. Сертификатка камтылган CRL таратуу чекити — нускама, бирөө аны алганынын далили эмес.

Жокко чыгаруу чынында кантип келерин чечиңиз

crl-verify текшерүүчүнү файлга же четки чекитке кайрылууга мажбурлайт, жана бул тартипке ээ жана жаңыртуу жолу керек. Жайгаштыруу учурунда бир жолу көчүрүлгөн тизме сертификат биринчи жолу жокко чыгарылганда сизди коргоону үнсүз токтотот.

Күтүлгөн таралуу убактысын жазып коюңуз жана аны жокко чыгарууга даяр сертификат менен сынаңыз. Эгер тизмени VPN хостунда жаңыртуу мүмкүн болбосо, альтернатива кыскараак жарактуулук мөөнөтү жана чындап иштеген жаңыртуу процесси, URL бар деп жокко чыгаруу иштейт деген божомол эмес.

Чыныгы кардар менен кабыл алууну далилдеңиз

Уруксат берилиши керек болгон кардарды туташтырыңыз жана журналда сүйлөшүлгөн сертификаттын чоо-жайын тастыктаңыз. Андан кийин ийгиликсиз болушу керек болгон учурларды сынап көрүңүз: сервер катары сунушталган кардар сертификаты, ишеним тирегинен тышкаркы чыгаруучунун сертификаты жана ашыкча болсо, жокко чыгарылган сертификат.

Кабыл алынган чыгаруучуну, ролдук текшерүүнү жана жокко чыгаруу булагын профилдин жанына жазыңыз. Ошол жазуу өткөн айда иштеген түзмөк туташууну токтоткондо кийинки инженерге керек болот, жана ал ишкана CA жалпы максаттагы ишеним таштандысы катары эмес, документтештирилген кабыл алуу чек арасынын ичинде колдонулуп жатканынын далили.