Brauchst du Easy-RSA fir OpenVPN? Et hänkt dovun of, wien d’CA huet

En Tutorial seet, ee sollt Easy-RSA installéieren, ier een OpenVPN aricht, dofir huelen d’Leit un, déi zwee géingen zesummen. Dat ass net esou. Easy-RSA ass e PKI-Verwaltungsgeschier, dat OpenSSL steiert; OpenVPN ass den Tunnel. Dee een entscheet, wiem een traue soll, deen aneren transportéiert Paketen.

D’Vergläich déi zielt, ass net wéi eng Geschier besser ass. Et ass wien den Emittent an Ärer Organisatioun huet.

Wat Easy-RSA tatsächlech ass

D’Projet beschreift sech als PKI-Verwaltungsgeschier fir X.509, woubäi OpenSSL d’kryptografesch Aarbecht mécht. Dat heescht, et verpaakt Schësselgeneratioun, Zertifikatsufroen, Ënnerschrëftspolitik an Zréckzuch an eng widderhuelbar Dossierstruktur. Et bäisetzt keng Verschëlsselungsschicht zu engem bestännegen Tunnel, an et mécht RSA net méi staark wéi dee selwechte Schëssel vun engem anere kompetenten Geschier. Wat et mécht, ass den Aarbechtsflux iwwerpréifbar ze maachen.

Dat ass e richtege Benefice, awer en operationellen a keen kryptografeschen.

Verfollegt ee Laptop duerch d’Aschreiwung

En neie Laptop generéiert säin eegene Schëssel a schéckt eng Zertifikatsufro, dofir de private Schëssel verléisst ni d’Apparat. Den Emittent ënnerschreift duerno dës Ufro mat engem Typ, deen déi richteg Erweiderunge fir eng Clientroll auswielt. An Easy-RSA ass dat ./easyrsa sign-req client laptop-a.

Den Operateur muss awer nach entscheeden, datt dës Persoun Zougang verdéngt. Keen Ënnerschrëftsgheschier leet en Usproch aus engem gemeinsamen Numm of.

Den ënnerschriwwenen Zertifikat geet zréck op d’Apparat mat dem passenden Schëssel, an d’VPN-Bereitstellung liwwert separat Serververtrauen, Identitéitskontrollen, Netzwierkpolitik an Kontufuerderungen. Eng Datei am Ausgabedossier vum Emittent beweist dovun näischt. Nëmmen en ofgeschlossenen Handshake mécht dat.

Verfollegt dee selwechte Laptop beim Austrëtt

D’Ewechhuelen ass déi Plaz, wou d’Wiel vum Emittent wierklech ze gesinn ass. En notzbaren Aarbechtsflux identifizéiert den Zertifikat, registréiert den Zréckzuch an erstellt dat, wat vertrauend Systemer brauche fir en ofzeleenen. Easy-RSA trennt ./easyrsa revoke laptop-a vun ./easyrsa gen-crl, an den zweeten Schrëtt ass deen, deen d’Leit vergiessen. Eng CRL beim Emittent ze generéieren liwwert se un keen VPN-Ënnerprouf.

Verdeelung, Verhalen beim Nei-Lueden a wat mat schonn etabléierte Sessioune geschitt, sinn Bereitstellungsentscheedungen, keng Geschiersfunktiounen.

Déi Lück ass dat praktescht Argument fir en etabléierten Aarbechtsflux géint eng Koup ad-hoc openssl-Kommanden. Den schwéieren Deel beim Bedreiwe vun engem Emittent ass net den éischten Zertifikat. Et ass d’Ausgaberegëster, Backuppen, Erneierungen an Ewechhuelen kohärent ze halen, wärend Apparater kommen a goen.

Wann et schonn en Emittent gëtt

Wann Är Organisatioun schonn en approuvéierte Zertifikatsservice bedreift, schreift Iech driwwer an. Eng zweet CA opzeriichten, well en Tutorial Easy-RSA-Kommanden hat, schaaft Aarbecht fir Vertrauensverdeelung, Aarbecht fir Backuppen an nach eng Saach, déi richteg missen zréckgezunn ze ginn.

En lokalen Emittent ass eng Verflichtung eng CA ze bedreiwen, keen Häkchen an engem Installatiounsguide.

Wéini Easy-RSA déi richteg Wiel ass

Fir eng kleng privat Bereitstellung, déi wierklech hiren eegenen Emittent brauch, gëtt Easy-RSA en fokusséierten Aarbechtsflux, ouni all Operatioun vun Hand zesummenzesetzen. De originelle Easy-RSA-Guide deckt d’Schrëtt Ufro, Ënnerschrëft, Zréckzuch an CRL an der Rei of. Halt d’CA-Ënnerschrëftsmaterial bei sengem designéierte Besëtzer; Clienten brauchen hir eegen Umeldungsdaten an dat relevant ëffentlecht Vertrauen, ni eng Kopie vum Ënnerschrëftsschëssel.

En PIN-baséierten OpenVPN-Design ass eng aner legitim Vertrauensuerdnung, keng futti PKI déi op Reparatur waart. An de Kont-Login hieft d’Noutwendegkeet net op, de Server ënner deem Protokoll ze authentifizéieren, deen s gewielt hutt.

Äntwert op véier Froe virum Wiel: wien eng nei Identitéit approuvéiert, wou hire private Schëssel läit, wéi den Zertifikat beim Client ukommt a wéi eng pensionéiert Identitéit ophält akzeptéiert ze ginn.