Benotzt Är bestehend Entreprise-CA fir OpenVPN-Peers

Näischt an OpenVPN verlaangt, datt d'Zertifikat vun Easy-RSA kënnt, an eng Flott déi schonn eng organisatoresch PKI huet, soll normalerweis keng zwee bauen. Déi richteg Aarbecht ass net en Instrument ze wielen, mä ze entscheeden wat déi ausgestallt Identitéiten bedeiten, wéi eng Peers den Tunnel akzeptéiert a wéi Erneierung a Widderruff beim Verifizéierer ukommen. Gitt déi fënnef Schrëtt hei drënner an der Rei duerch, well e méi spéide Schrëtt eng Rollenentscheedung aus dem éischten net ka reparéieren.

Gitt zwou Rolle raus amplaz enger gedeelter Identitéit

Jiddwer Peer brauch säin eegent Zertifikat an de passenden private Schlëssel. Frot d'PKI-Team no enger Serveridentitéit mat Serververwendung an no getrennten Clientidentitéiten mat Clientverwendung, sou datt den Tunnel déi zwee beim Handshake ka ënnerscheeden.

Stitt de Kuerzweeër entgéint, déi ënner Deadline-Drock opdauchen. E Schlëssel vun engem Webserver deen op Laptope kopéiert gëtt, läscht den Ënnerscheed op deem d'Rollenpréifung baséiert, an e CA-Signaturschlëssel deen op engem VPN-Endpunkt installéiert ass, mécht aus engem kompromittéierten Host eng kompromittéiert Hierarchie. E PKCS12-Bündel kann en Endpunktschlëssel an seng Kette droen, awer et gëtt ni d'Erlaabnes déi Identitéit an enger anerer Roll ze benotzen.

Verbënnt d'Vertrauensinputen op jiddwer Säit

De Client an de Server brauchen allenzwee en Vertrauensanker, hir eegen Identitéit an eng explizit Rollenerwaardung. E Client-Fragment deen all dräi ugëtt, gesäit esou aus.

client
ca /etc/openvpn/pki/issuing-root.pem
cert /etc/openvpn/pki/device-17.crt
key /etc/openvpn/pki/device-17.key
remote-cert-tls server
verify-x509-name vpn.corp.example name
crl-verify /etc/openvpn/pki/issuing.crl

D'Serversäit spigelt dat mat remote-cert-tls client a sengem eigenen Zertifikat, an dat ass wat verhënnert datt e Clientzertifikat als Server akzeptéiert gëtt. D'Nimmpréifung ass eng Entscheedung getrennt vun der Rollenpréifung. Liest déi deployéiert Konfiguratioun fir ze gesinn wéi ee Feld verglach gëtt, amplaz eng Hostenumm-Übereestëmmung am Browser-Stil unzehuelen. Béid Säite sollten och explizit soen wéi engem Aussteller si vertrauen, well e gedeelte Dateipad iwwer d'Flott net datselwecht ass wéi eng gedeelt Politik.

Levert Zwëschenzertifikater aus ouni d'Vertrauen ze verbreeden

Déi zwou Säite mussen net eng eenzeg Ausstellkette deelen. Wann e Peer en Zertifikat presentéiert dat vun engem Zwëschenzertifikat ënnerschriwwe gouf, braucht déi verifizéierend Säit deen Zwëschenzertifikat verfügbar, an OpenVPN ënnerscheet den Input vum Vertrauensanker vun den zousätzlechen Zertifikater déi benotzt gi fir eng lokal presentéiert Kette ze kompletéieren. D'TLS-Optiounsreferenz vun OpenVPN 2.6 dokumentéiert béides.

En Zwëschen-CA ass net u sech e Problem, awer eng breet Entreprisewuerzel déi an de Vertrauensbündel gehäit gëtt, ass et. Je méi breet den Anker, desto méi Zertifikater bestinn den Kettentest, an eng Rollenpréifung mécht doraus keng Lëscht vun autoriséierte Mataarbechter. Verenngt den Anker op den Aussteller deen tatsächlech VPN-Identitéiten ënnerschreift, wou d'Hierarchie et erlaabt. Wann net, dokumentéiert den méi breiden Anker als bewosst akzeptéierte Risiko amplaz en implizit ze loossen.

Stëmmt Iech mam PKI-Team of wéi Erneierung a Widderruff d'VPN-Verifizéierer erreechen, dorënner wéi eng Aussteller wichteg sinn a wien d'Lëscht publizéiert. En CRL-Distributiounspunkt deen an engem Zertifikat agebaut ass, ass eng Instruktioun, keen Beweis datt eppes en ofgeruff huet.

Entscheet wéi de Widderruff tatsächlech ukommt

crl-verify bréngt de Verifizéierer dozou eng Datei oder en Endpunkt ze consultéieren, an déi Reegel brauch en Eegentemer an e Erneierungswee. Eng Lëscht déi eemol beim Deployment kopéiert gëtt, hält roueg op Iech ze schützen wann en Zertifikat fir d'éischt widderruff gëtt.

Schreift déi erwaart Verbreedungszäit op a testet se mat engem Zertifikat deen Dir bereet sidd ze widderruffen. Wann d'Lëscht um VPN-Host net erneiert ka ginn, ass d'Alternativ eng méi kuerz Gëltegkeetsdauer plus en Erneierungsprozess deen tatsächlech leeft, net d'Annam datt de Widderruff funktionéiert well eng URL existéiert.

Beweist d'Akzeptanz mat engem richtege Client

Verbannt e Client deen erlaabt soll ginn a bestätegt d'verhandelt Zertifikatsdetailer am Log. Probéiert duerno d'Fäll déi musse fehlschloen: e Clientzertifikat deen als Server presentéiert gëtt, en Zertifikat vun engem Aussteller baussen dem Vertrauensanker, an e widderrufft Zertifikat wann Dir een iwwreg hutt.

Vermierkt den akzeptéierten Aussteller, d'Rollenpréifung an d'Quell vum Widderruff niewent dem Profil. Dee Vermierk ass dat wat den nächsten Ingenieur brauch wann en Apparat dee leschte Mount funktionéiert huet ophält sech ze verbannen, an et ass och de Beweis datt den Entreprise-CA bannent enger dokumentéierter Akzeptanzgrenz benotzt gëtt an net als allgemengen Vertrauensdepot.