Halt den OpenVPN-CA-Signéierschlëssel aus /etc/openvpn eraus

Zwee Verzeechnisser, déi an engem Tutorial änlech ausgesinn, maachen ganz verschidde Aarbechten. Dat engt hält d’Zertifizéierungsautoritéit: hire private Schlëssel, hire Seriennummere-Zähler an d’Opzeechnung vun allem, wat se ënnerschriwwen huet. Dat anert hält, wat den Daemon brauch, fir ze starten a Clienten ze bedéngen. Béides op deem selwechte Host ënner deem selwechte Kont ze leeën ass bequem fir en Nomëtteg a deier fir de Rescht vum Liewen vun der Ausrollung, well den Daemon dann nieft deem eenzege Schlëssel leeft, deen all Identitéit ka schafen, déi hie wëll.

Wat den CA-Aarbechtsberäich enthält

En PKI-Verzeechnes ass Ausstellerstatus, net Konfiguratioun. Et enthält de private Schlëssel an d’Zertifikat vun der CA, eng Seriennummeredatei, en Index vun ausgestellten Zertifikaten an d’Material pro Identitéit, dat doraus produzéiert gouf.

D’Ënnerschreiwe vun engem Ufro ännert dëse Status, dofir gehéiert den Aarbechtsberäich zu engem Kont, dee vum Administrateur kontrolléiert gëtt, op engem Host, op deem de VPN-Service net leeft. Jiddereen, deen de private Schlëssel vun der CA liese kann, kann en Zertifikat ausstellen, deem de Server vertraut, also ass de Schutz vum Schlëssel dat ganzt Vertrauensmodell an enger eenzeger Datei. En op eng zweet Plaz ze kopéieren, fir e Schrëtt ze spueren, schaaft eng zweet Saach, déi ee muss schützen, an eng zweet, déi ee vergiisst. All Ënnerschrëft erhéicht och d’Seriennummer an hängt en Andro an den Index un, dofir ass den Aarbechtsberäich eng Kopie vum Status an net e Dossier mat Dateien.

D’ëffentlecht CA-Zertifikat ass anescht. Et ass geduecht verdeelt ze ginn, an et ass dat, wat Clienten a Server benotze fir sech géigesäiteg ze verifizéieren.

Wat den Daemon beim Start liest

E lafende Server verbraucht eng kleng Rei: säin eegent Zertifikat, säi eigenen private Schlëssel, d’CA-Zertifikat fir d’Peer ze verifizéieren, a wat fir Schlësselmaterial säi gewielte Modus och ëmmer verlaangt. Hie liest déi Weeër beim Start an nach eng Kéier beim Nei-Lueden.

D’Eegentum muss vis-à-vis vun der Eenheet bewäert ginn, déi tatsächlech start, net vis-à-vis vun enger interaktiver Root-Shell. Deklaréiert Sandboxing kann en Deel vum Dateisystem nëmmen ze liese maachen oder onsichtbar, och wann en manuellen Test als Root geléngt.

systemctl show -p User -p Group -p ReadOnlyPaths [email protected]
stat -c '%a %U:%G' /etc/openvpn/server/server.key
runuser -u openvpn -- test -r /etc/openvpn/server/server.key; echo $?

Déi drëtt Zeil ass déi, déi d’Leit iwwersprangen. Si freet de Kont vum Daemon selwer, ob hien de Schlëssel liese kann, an dat ass déi eenzeg Versioun vun der Fro, déi zielt, wann d’Privilegien eemol ofginn sinn. En Null-Exit als Root seet näischt doriwwer, wat nom Ofginn geschitt.

Déi zwou Feelerweeër sinn et wäert, se ze trennen, ier Dir eng Berechtegung ännert. E Signaturfeeler weist op den PKI-Verzeechnes, d’Sichberechtegung op senge Iwwerzeverzeechnisser an de Kont, deen den Aussteller lafe léisst. E Startfeeler weist op d’Eenheet, hirem Aarbechtsverzeechnes an de Weeër, déi an der Serverkonfiguratioun genannt sinn. De ganzen Bam fir all liesbar ze maachen, léist keng vun deenen zwee a läscht d’Grenz, vun där béid ofhänken.

Firwat d’Kopéiere vum CA-Schlëssel op de Server méi spéit feelt

D’Kopie fänkt meeschtens als Debug-Schrëtt un: een wëll en Client um VPN-Host erneieren, also landt de CA-Schlëssel an /etc/openvpn an d’Erneierung funktionéiert. Déi direkt Aufgab geléngt, an d’Grenz ass fort.

Dann gëtt de Server geséchert, an d’Signéierungsinstanz kënnt an d’Backupen. En Snapshot, en Supportbündel oder eng Kopie vum Konfiguratiounsverzeechnes dréit elo d’Fäegkeet, vertrauenswierdeg Identitéiten auszestellen, soulaang d’CA gëlteg ass. Wien déi Kopie huet, ka fir all Numm en Zertifikat maachen, deen de Server akzeptéiert, och fir Nimm, déi ni ausgestallt goufen. Déi eenzeg Opzeechnung vun där Ausstellung ass déi, déi si wëllen halen.

Sech vun deem Status z’erhuelen ass keng Fro vun enger Datei ze läschen. Dir musst decidéieren, ob de Schlëssel bloussgeluecht war, d’CA rotéieren, wann jo, an d’Vertrauen un all Peer nei verdeelen. En separate Aarbechtsberäich vermeit déi ganz Diskussioun.

Konten, Verzeechnisser, Backups

Gitt dem Aussteller säin eegene Kont an Heemverzeechnes, wou et praktesch ass, ewech vum VPN-Host. Gitt dem Daemon en anere Kont, mat Lieszougrëff op dat ausgerullt Material a Schreifzougrëff op näischt, wat Zertifikate ausstellt. Rollt aus, andeems Dir ëffentlech Zertifikate no baussen kopéiert an ni privaten Ausstellerstatus no bannen zitt. Maacht Backupe vun den zwou Rolle getrennt, well hir Sensibilitéit an hir Restauratiounsgeschichten ënnerschiddlech sinn.

No engem Widderruff aktualiséiert d’CRL-Datei, déi d’Serverkonfiguratioun nennt, a luet dann de Service nei, sou datt nei Verbindungen se liesen. D’Easy-RSA-Dokumentatioun behandelt den Opbau vum Aarbechtsberäich an den Signéierungs-Workflow; d’Eegentumsregelen ronderëm bleiwen eng Entscheidung iwwer Ären Host. Bestätegt, wat de Service gelueden huet, mat openssl crl -in /etc/openvpn/crl.pem -noout -lastupdate -nextupdate amplaz unzehuelen, datt d’Nei-Lueden et opgeholl huet.

En Test, deen d’Trennung beweist

Kuckt de negative Fall, net just dee funktionéierenden. Ënnerschreift en Zertifikat vum Ausstellerkont wéi designéiert, a bestätegt dann, datt dee selwechte Kont de Service net ka starten an de private Schlëssel vum Server net ka liesen. Bestätegt duerno, datt de Kont vum Daemon de private Schlëssel vun der CA net ka liesen.

Déi dräi Kontrollen daueren e puer Minutten a iwwerliewen Personalwiesselen, well et Aussoen iwwer Berechtegungen sinn an net iwwer Gewunnecht. Schreift d’Resultat op mat de Weeër an de Konten, déi et ofgedeckt huet, plus den Datum, wou Dir se gemaach hutt. Déi nächst Persoun, déi dës Ausrollung ierft, wäert soss d’Grenz erëm aus engem Tutorial ofleeden, dee ni eng hat. Eng datéiert Opzeechnung ass och dat, wat déi nächst Iwwerpréiwung Minutten amplaz en Nomëtteg dauere léisst.