E VPN-Client dobäisetzen ouni d’CA nei ze bauen

Dir braucht en anere Certificat fir en aneren Laptop, awer den éischten Tutorial an de Sichresultater fänkt mat engem Kommando un, deen den PKI-Dossier läscht. Dëse Kommando gehéiert zu der éischter Installatioun, net zur Inscriptioun, a säin Ausféieren kascht Iech d’CA, d’Ausgabhistorie an all Clientprofil, deen dem ale Aussteller vertraut huet. D’Entscheedung ass méi schmuel: huet Ären Aussteller nach en notzbare Zoustand, a passt den neien Apparat an Är Inscriptiounspolitik? Dräi Konditioune entscheeden, an nëmmen eng justifiéiert en Neibau.

Wat en Neibau wierklech zerstéiert

Eng PKI nei initialiséiere setzt den Dossier duerch eng eidel Struktur aus: nei CA-Schlëssel an Certificat, eidel Ausgabdatebank, neien Serienummer-Compteur. D’Cliente follegen net vun sech aus; hir Profiler pinne sech un déi al CA, also muss all Apparat sech nei inscriwwen, an déi onereechbar mat der Hand.

De méi rouege Verloscht ass d’Buchhaltung. D’Widderruff hänkt dovun of, ze wëssen, wéi eng Serienummere Dir wiem ausginn hutt. Läscht Dir den Index, kënnt Dir nach ënnerschreiwen, awer net méi sécher soen, wéi eng vun den ausginnene Certificaten Dir wëllt widderruffen. En CA-Dossier mat Certificaten ouni de passenden Ausstellerzoustand ass eng Sécherung, déi déi falsch Halschecht vum System erëmbréngt.

De private CA-Schlëssel niewent dem lafende Server ze kopéieren ass déi aner Ofkierzung, déi ee sollt refuséieren: si mécht aus enger Ënnerschrëftsauthioritéit, déi offline misst stoen, nach eng Datei op engem Host mat net vertrauenswierdegem Trafik.

Éischte Konditioun: ass den Ausstellerzoustand nach ereechbar?

Fannt den Dossier, deem de Server wierklech vertraut, ier Dir entscheet. Vergläicht den Certificat, deen de Server als CA presentéiert, mat deem am PKI-Dossier iwwer de Fangerofdrock, net iwwer den Dateinumm:

openssl x509 -in ca.crt -noout -fingerprint -sha256
openssl x509 -in /etc/openvpn/ca.crt -noout -fingerprint -sha256

Wann d’Ofdréck iwwereneen kommen, ass d’Inscriptioun inkrementell an Dir sollt näischt nei bauen. Wa se sech ënnerscheeden, ënnerschreift Dir mat enger CA, déi de Server net vertraut: den Certificat installéiert sech propper a fällt beim Handshake, an dee Feeler gëtt Stonne laang als Clientfeeler diagnostizéiert.

Duerno sicht den Ausgabzoustand: den Indexfichier, de Seriencompteur an den CRL-Nummerfichier. Wann den Index fort ass, awer de Schlëssel lieft, kënnt Dir ausginn, awer Dir ierft e Problem mat der Opzeechnung vu Widderruff. Notéiert dat an der Ännerungsjournal, well déi nächst Widderruffufro wäert et weisen.

Zweet Konditioun: wie huet den neie private Schlëssel?

Déi Entscheedung spiere d’Benotzer, also hëlt se ausdrécklech. E Schlëssel, deen de Client erstellt an als Ufro schéckt, léisst déi privat Halschecht vum éischte Kommando un um Apparat, an den Administrateur beréiert se ni. E Schlëssel, deen de Server erstellt, ass méi einfach fir Apparater ouni Geschier, awer mécht den Administrateur zum Wiechter vun all Schlëssel an erweidert d’Auswierkung vun enger Serverkompromittéierung.

Mat Easy-RSA 3 géint eng existéierend CA sinn d’Importéieren an d’Ënnerschreiwen vun enger Ufro zwee Kommandoen:

./easyrsa import-req /tmp/alice.req alice
./easyrsa sign-req client alice

Wielt den Certificatstyp bewosst. Eng Ufro, déi als Server- amplaz Clientcertificat ënnerschriwwe gëtt, gëtt eng Datei, déi gutt ausgesäit a vum Partner refuséiert gëtt, an d’Feelermeldung seet selten firwat. Mat openssl ca lieft déiselwecht Wiel an den Extensiounen, déi Dir gitt, net am Standardabschnitt.

Drëtt Konditioun: brauch de Server méi wéi e Certificat?

Fir en normale OpenVPN-Server mat Certificatsauthentifikatioun ass de Certificat d’Inscriptioun: den gemeinsamen Numm gëtt d’Identitéit vum Client, an all Clientdossier, gedréckte Route oder statesch Adress hänkt un deem Numm. Setzt de Certificat dobäi a vergiesst d’Konfiguratioun, verbënnt den Tunnel, awer déi néideg Route kommen net.

Plattforme ännere dat. OpenVPN Access Server huet seng eegen Benotzerdatebank, also ass en ënnerschriwwene Certificat keen Kont; de Kont muss existéieren a mussen erlaabt sinn. Aner Portal verbannen eng Identitéitschett un eng Grupp. D’Inscriptioun vun engem Apparat beréiert meeschtens zwee Systemer, an de Certificat ass just dat éischt.

Den inkrementelle Prozedur a wéini en Neibau richteg ass

D’Reiefolleg, déi en Apparat ouni Schued dobäisetzt: bestätegt den Aussteller iwwer den Fangerofdrock, hëlt eng frësch Sécherung vum PKI-Dossier, importéiert an ënnerschreift d’Ufro fir d’Clientroll, liwwert de Certificat mat senger Kette iwwer den approuvéierte Kanal, a verifiéiert ier de Benotzer sech verbënnt:

openssl verify -CAfile ca.crt alice.crt
openssl x509 -in alice.crt -noout -subject -issuer -dates -purpose

D’Zwecklinn sollt SSL client weisen. Schléisst mat der Aktualiséierung vun der CA-Sécherung no der Ausgab of, well eng Sécherung vun virun der neier Serienummer de Zoustand ouni den Apparat, deen Dir just dobäigesat hutt, erëmbréngt.

En Neibau ass a dräi Fäll richteg: de CA-Schlëssel ass kompromittéiert, den Ausgabzoustand ass onbedéngt verluer, oder Dir ännert bewosst den Schlësselalgorithmus oder d’Certificatspolítik. All dräi si Projete mat engem Plan fir all Client nei ze inscriwwen, keng Schrëtt an enger Ufro fir een Apparat. Wann keen zoutrëfft, inscriwwt inkrementell a loosst den Aussteller a Rou.