VPN klienta pievienošana bez CA pārbūves

Nepieciešams vēl viens sertifikāts vēl vienam portatīvajam datoram, bet pirmā pamācība meklēšanas rezultātos sākas ar komandu, kas izdzēš PKI mapi. Šī komanda pieder pie sākotnējās iestatīšanas, nevis reģistrācijas, un tās izpilde maksā CA, izsniegšanas vēsturi un visus klientu profilus, kas uzticējās vecajam izdevējam. Lēmums ir šaurāks: vai izdevējam vēl ir lietojams stāvoklis, un vai jaunā ierīce atbilst jūsu reģistrācijas politikai? Trīs nosacījumi to izšķir, un tikai viens attaisno pārbūvi.

Ko pārbūve patiešām iznīcina

PKI atkārtota inicializācija aizstāj mapi ar tukšu struktūru: jaunu CA atslēgu un sertifikātu, tukšu izsniegšanas datubāzi, jaunu sērijas numuru skaitītāju. Klienti ne seko paši; viņu profili piesaista veco CA, tāpēc katra ierīce ir jāreģistrē no jauna, bet nesasniedzamās — manuāli.

Klusākais zaudējums ir uzskaite. Atsaukšana ir atkarīga no zināšanas, kādus sērijas numurus kam esat izsniedzis. Notīriet indeksu, un jūs joprojām varat parakstīt, bet vairs nevarat droši pateikt, kuras no izsniegtajām sertifikātiem gribējāt atsaukt. CA mape ar sertifikātiem bez atbilstoša izdevēja stāvokļa ir dublējums, kas atjauno nepareizo sistēmas pusi.

CA privātās atslēgas kopēšana blakus darbojošam serverim ir otrs īsceļš, no kura vajadzētu atteikties: tā pārvērš parakstīšanas iestādi, kurai jāpaliek ārpus tīkla, vēl vienā failā uz resursdatora ar neuzticamu satiksmi.

Pirmais nosacījums: vai izdevēja stāvoklis vēl ir sasniedzams?

Pirms lēmuma atrodiet mapi, kurai serveris patiešām uzticas. Salīdziniet sertifikātu, ko serveris uzrāda kā CA, ar to PKI mapē pēc pirksta nospieduma, nevis faila nosaukuma:

openssl x509 -in ca.crt -noout -fingerprint -sha256
openssl x509 -in /etc/openvpn/ca.crt -noout -fingerprint -sha256

Ja nospiedumi sakrīt, reģistrācija ir papildinoša un nekas nav jāpārbūvē. Ja tie atšķiras, jūs parakstāt ar CA, kurai serveris neuzticas: sertifikāts tiek tīri instalēts un neizdodas rokasspiedienā, un šī kļūda stundām tiek nepareizi diagnosticēta kā klienta defekts.

Pēc tam meklējiet izsniegšanas stāvokli: indeksa failu, sērijas skaitītāju un CRL numura failu. Ja indekss ir pazudis, bet atslēga palikusi, jūs varat izsniegt, bet manto atsaukšanas reģistrēšanas problēmu. Pierakstiet to izmaiņu žurnālā, jo nākamais atsaukšanas pieprasījums to atklās.

Otrais nosacījums: kam pieder jaunā privātā atslēga?

Šo lēmumu lietotāji izjūt, tāpēc pieņemiet to skaidri. Klienta ģenerēta un kā pieprasījums iesniegta atslēga patur privāto daļu ierīcē no pirmās komandas, un administrators to nekad neaiztiek. Servera ģenerēta atslēga ir vieglāka ierīcēm bez rīkiem, bet padara administratoru par katras atslēgas sargu un paplašina servera apdraudējuma ietekmi.

Ar Easy-RSA 3 pret esošu CA pieprasījuma imports un parakstīšana ir divas komandas:

./easyrsa import-req /tmp/alice.req alice
./easyrsa sign-req client alice

Izvēlieties sertifikāta tipu apzināti. Pieprasījums, kas parakstīts kā servera, nevis klienta sertifikāts, dod failu, kas izskatās labi un ko partneris noraida, un kļūdas ziņojums reti pasaka kāpēc. Ar openssl ca tā pati izvēle dzīvo paplašinājumos, ko nododat, nevis noklusējuma sadaļā.

Trešais nosacījums: vai serverim vajag vairāk par sertifikātu?

Parastam OpenVPN serverim ar sertifikāta autentifikāciju sertifikāts ir pati reģistrācija: kopējais nosaukums kļūst par klienta identitāti, un jebkura mape, virzītais maršruts vai statiskā adrese ir piesaistīta šim nosaukumam. Pievienojiet sertifikātu un aizmirstiet konfigurāciju: tunelis savienojas, bet vajadzīgie maršruti neparādās.

Platformas to maina. OpenVPN Access Server uztur savu lietotāju datubāzi, tāpēc parakstīts sertifikāts nav konts; kontam jābūt un jābūt atļautam. Citi vārteji saista identitātes virkni ar grupu. Vienas ierīces reģistrācija parasti skar divas sistēmas, un sertifikāts ir tikai pirmā.

Papildinošā procedūra un kad pārbūve ir pareiza

Secība, kas pievieno ierīci bez kaitējuma: apstipriniet izdevēju pēc nospieduma, ņemiet svaigu PKI mapes dublējumu, importējiet un parakstiet pieprasījumu klienta lomai, piegādājiet sertifikātu ar ķēdi apstiprinātajā kanālā un pārbaudiet pirms lietotāja savienošanās:

openssl verify -CAfile ca.crt alice.crt
openssl x509 -in alice.crt -noout -subject -issuer -dates -purpose

Mērķa rindai jārāda SSL client. Pabeidziet ar CA dublējuma atjaunināšanu pēc izsniegšanas, jo dublējums, kas ņemts pirms jaunā sērijas numura, atjauno stāvokli bez tikko pievienotās ierīces.

Pārbūve ir pareiza trīs gadījumos: CA atslēga ir apdraudēta, izsniegšanas stāvoklis ir neatgriezeniski zaudēts, vai jūs apzināti maināt atslēgas algoritmu vai sertifikātu politiku. Visi trīs ir projekti ar atkārtotas reģistrācijas plānu katram klientam, nevis vienas ierīces pieprasījuma soļi. Ja neviens neattiecas, reģistrējiet papildinoši un atstājiet izdevēju mierā.