VPN kliento pridėjimas neperstatant CA

Reikia dar vieno sertifikato dar vienam nešiojamajam kompiuteriui, bet pirmoji pamoka paieškos rezultatuose prasideda komanda, kuri ištrina PKI katalogą. Ta komanda skirta pirmajam nustatymui, o ne registracijai, ir jos vykdymas kainuoja CA, išdavimų istoriją ir visus kliento profilius, kurie pasitikėjo senuoju leidėju. Sprendimas siauresnis: ar leidėjas dar turi tinkamą būseną ir ar naujas įrenginys atitinka jūsų registracijos politiką? Trys sąlygos tai sprendžia, ir tik viena pateisina perstatymą.

Ką perstatymas iš tikrųjų sunaikina

PKI pakartotinė inicijalizacija pakeičia katalogą tuščia struktūra: nauju CA raktu ir sertifikatu, tuščia išdavimų duomenų baze, nauju serijos numerių skaitikliu. Klientai ne seka savaime; jų profiliai pririša seną CA, todėl kiekvienas įrenginys turi registruotis iš naujo, o nepasiekiami – rankiniu būdu.

Tylesnis nuostolis yra apskaita. Atšaukimas priklauso nuo žinojimo, kuriuos serijos numerius kam išdavėte. Išvalykite indeksą ir vis dar galite pasirašyti, bet nebegalite užtikrintai pasakyti, kuriuos išleistų sertifikatų norėjote atšaukti. CA katalogas su sertifikatais be atitinkamos leidėjo būsenos yra atsarginė kopija, atkurianti neteisingą sistemos pusę.

CA privataus rakto kopijavimas šalia veikiančio serverio yra kita trumpa kelio atkarpa, kurios verta atsisakyti: ji paverčia pasirašymo instituciją, kuri turėtų būti ne tinkle, dar vienu failu pagrindiniame kompiuteryje su nepatikimu srautu.

Pirmoji sąlyga: ar leidėjo būsena dar pasiekiama?

Prieš spręsdami raskite katalogą, kuriuo serveris tikrai pasitiki. Palyginkite sertifikatą, kurį serveris pateikia kaip CA, su esančiu PKI kataloge pagal pirštų atspaudą, o ne failo vardą:

openssl x509 -in ca.crt -noout -fingerprint -sha256
openssl x509 -in /etc/openvpn/ca.crt -noout -fingerprint -sha256

Jei atspaudai sutampa, registracija yra papildoma ir nieko neperstatykite. Jei skiriasi, pasirašote CA, kuriuo serveris nepasitiki: sertifikatas įdiegiamas švariai ir nepavyksta rankos paspaudimo metu, o ši klaida valandų valandas klaidingai priskiriama klientui.

Tada ieškokite išdavimo būsenos: indekso failo, serijos skaitiklio ir CRL numerio failo. Jei indekso nėra, bet raktas išliko, galite išduoti, bet paveldite atšaukimų registravimo problemą. Užsirašykite tai pakeitimų žurnale, nes kita atšaukimo užklausa tai atskleis.

Antroji sąlyga: kas laiko naują privatų raktą?

Tai sprendimas, kurį jaučia naudotojai, todėl priimkite jį aiškiai. Kliento sukurtas ir kaip užklausa pateiktas raktas palieka privačią dalį įrenginyje nuo pirmos komandos, o administratorius niekada jos neliečia. Serverio sukurtas raktas lengvesnis įrenginiams be įrankių, bet administratorių paverčia kiekvieno rakto saugotoju ir išplečia serverio pažeidimo poveikį.

Su Easy-RSA 3 prieš esamą CA užklausos importavimas ir pasirašymas yra dvi komandos:

./easyrsa import-req /tmp/alice.req alice
./easyrsa sign-req client alice

Pasirinkite sertifikato tipą sąmoningai. Užklausa, pasirašyta kaip serverio, o ne kliento sertifikatas, duoda failą, kuris atrodo gerai ir kurį partneris atmeta, o klaidos pranešimas retai pasako kodėl. Su openssl ca tas pats pasirinkimas gyvena plėtiniuose, o ne numatytajame skyriuje.

Trečioji sąlyga: ar serveriui reikia daugiau nei sertifikato?

Įprastam OpenVPN serveriui su sertifikato autentifikavimu sertifikatas yra pati registracija: bendras vardas tampa kliento tapatybe, o katalogas, stumiamas maršrutas ar statinis adresas priklauso nuo to vardo. Pridėkite sertifikatą ir pamirškite konfigūraciją: tunelis prisijungs, bet reikiami maršrutai nepasirodys.

Platformos tai keičia. OpenVPN Access Server turi savo naudotojų duomenų bazę, todėl pasirašytas sertifikatas nėra paskyra; paskyra turi egzistuoti ir būti leidžiama. Kiti vartai susieja tapatybės eilutę su grupe. Vieno įrenginio registracija paprastai liečia dvi sistemas, o sertifikatas tėra pirmoji.

Papildoma procedūra ir kada perstatymas teisingas

Sekos tvarka, pridedanti įrenginį be žalos: patvirtinkite leidėją pagal atspaudą, paimkite naują PKI katalogo atsarginę kopiją, importuokite ir pasirašykite užklausą kliento vaidmeniui, perduokite sertifikatą su grandine patvirtintu kanalu ir patikrinkite prieš naudotojui prisijungiant:

openssl verify -CAfile ca.crt alice.crt
openssl x509 -in alice.crt -noout -subject -issuer -dates -purpose

Paskirties eilutė turi rodyti SSL client. Užbaikite atnaujindami CA atsarginę kopiją po išdavimo, nes kopija, paimta prieš naują serijos numerį, atkuria būseną be ką tik pridėto įrenginio.

Perstatymas teisingas trimis atvejais: CA raktas pažeistas, išdavimo būsena negrįžtamai prarasta arba sąmoningai keičiate rakto algoritmą ar sertifikatų politiką. Visi trys yra projektai su pakartotinės registracijos planu kiekvienam klientui, o ne vieno įrenginio užklausos žingsniai. Jei niekas netinka, registruokite papildomai ir palikite leidėją ramybėje.