Vai jums vajadzīgs Easy-RSA priekš OpenVPN? Tas atkarīgs no tā, kam pieder CA

Kādā apmācībā teikts, ka pirms OpenVPN iestatīšanas jāinstalē Easy-RSA, tāpēc cilvēki pieņem, ka abi ir viens komplekts. Nav. Easy-RSA ir PKI pārvaldības rīks, kas vada OpenSSL; OpenVPN ir tunelis. Viens izlemj, kam uzticēties, otrs pārvieto paketes.

Svarīgais salīdzinājums nav par to, kurš rīks ir labāks. Bet par to, kam jūsu organizācijā pieder izdevējs.

Kas īsti ir Easy-RSA

Projekts sevi raksturo kā X.509 PKI pārvaldības rīku, kur kriptogrāfisko darbu veic OpenSSL. Tas nozīmē, ka tas iesaiņo atslēgu ģenerēšanu, sertifikātu pieprasījumus, parakstīšanas politiku un atsaukšanu atkārtojamā direktoriju struktūrā. Tas nepievieno šifrēšanas slāni jau izveidotam tunelim un nepadara RSA stiprāku par to pašu atslēgu, ko radījis cits kompetents rīks. Ko tas dara, ir padara darbplūsmu auditējamu.

Tas ir īsts ieguvums, bet operatīvs, nevis kriptogrāfisks.

Izsekojiet vienam portatīvajam datoram reģistrācijas gaitā

Jauns portatīvais dators ģenerē savu atslēgu un iesniedz sertifikāta pieprasījumu, tāpēc privātā atslēga nekad neatstāj ierīci. Pēc tam izdevējs paraksta šo pieprasījumu ar tipu, kas izvēlas pareizos paplašinājumus klienta lomai. Easy-RSA tas ir ./easyrsa sign-req client laptop-a.

Operatoram joprojām jāizlemj, ka šī persona ir pelnījusi piekļuvi. Neviens parakstīšanas rīks neizsecina tiesības no vispārēja vārda.

Parakstītais sertifikāts atgriežas ierīcē, kurā ir atbilstošā atslēga, un VPN izvietošana atsevišķi nodrošina servera uzticēšanos, identitātes pārbaudes, tīkla politiku un konta prasības. Fails izdevēja izvades direktorijā neko no tā nepierāda. To dara tikai pabeigta rokasspiediena procedūra.

Izsekojiet tam pašam portatīvajam datoram izejot

Noņemšana ir vieta, kur izdevēja izvēle patiešām parādās. Lietojama darbplūsma identificē sertifikātu, reģistrē atsaukšanu un rada to, kas uzticības sistēmām vajadzīgs, lai to noraidītu. Easy-RSA šķir ./easyrsa revoke laptop-a no ./easyrsa gen-crl, un otrais solis ir tas, ko cilvēki aizmirst. CRL ģenerēšana pie izdevēja to nenogādā nevienam VPN pārbaudītājam.

Izplatīšana, pārlades uzvedība un tas, kas notiek ar jau izveidotām sesijām, ir izvietošanas lēmumi, nevis rīka funkcijas.

Šī plaisa ir praktiskais arguments par labu iedibinātai darbplūsmai pret kaudzi ad hoc openssl komandu. Grūtā izdevēja uzturēšanas daļa nav pirmais sertifikāts. Tā ir izsniegšanas ierakstu, dublējumu, atjauninājumu un noņemšanu saskaņotība, kamēr ierīces nāk un iet.

Kad izdevējs jau pastāv

Ja jūsu organizācija jau uztur apstiprinātu sertifikātu pakalpojumu, reģistrējieties tajā. Otra CA uzstādīšana tāpēc, ka apmācībā bija Easy-RSA komandas, rada uzticēšanās izplatīšanas darbu, dublējumu darbu un vēl vienu lietu, kas pareizi jāatsauc.

Vietējais izdevējs ir apņemšanās uzturēt CA, nevis izvēles rūtiņa iestatīšanas rokasgrāmatā.

Kad Easy-RSA ir pareizā izvēle

Mazai privātai izvietošanai, kurai patiešām vajadzīgs savs izdevējs, Easy-RSA dod mērķtiecīgu darbplūsmu, nemontējot katru darbību ar rokām. oriģinālā Easy-RSA rokasgrāmata secīgi aptver pieprasījuma, parakstīšanas, atsaukšanas un CRL soļus. Glabājiet CA parakstīšanas materiālu pie tā norīkotā īpašnieka; klientiem vajadzīgi savi akreditācijas dati un attiecīgā publiskā uzticēšanās, nekad parakstīšanas atslēgas kopija.

Uz PIN balstīts OpenVPN dizains ir vēl viens likumīgs uzticēšanās izkārtojums, nevis salūzis PKI, kas gaida remontu. Un konta pieteikšanās neatceļ vajadzību autentificēt serveri saskaņā ar jebkuru izvēlēto protokolu.

Atbildiet uz četriem jautājumiem pirms izvēles: kas apstiprina jaunu identitāti, kur dzīvo tās privātā atslēga, kā sertifikāts nonāk pie klienta un kā pensionēta identitāte pārstāj tikt pieņemta.