Дали ви треба Easy-RSA за OpenVPN? Зависи од тоа чија е CA

Едно упатство вели да инсталирате Easy-RSA пред да го поставите OpenVPN, па луѓето претпоставуваат дека двете се еден пакет. Не се. Easy-RSA е PKI алатка за управување што го води OpenSSL; OpenVPN е тунелот. Едната одлучува кому да му се верува, другата пренесува пакети.

Важната споредба не е која алатка е подобра. Туку која ја поседува издавачката страна во вашата организација.

Што е Easy-RSA всушност

Проектот се опишува како X.509 PKI алатка за управување, при што криптографската работа ја врши OpenSSL. Тоа значи дека ги спакува генерирањето клучеви, барањата за сертификати, политиката за потпишување и отповикувањето во повторлив распоред на директориуми. Не додава слој за криптирање на веќе воспоставен тунел и не го прави RSA посилен од истиот клуч произведен од друга компетентна алатка. Она што го прави е работниот тек да биде проверлив.

Тоа е вистинска придобивка, но оперативна, а не криптографска.

Следете еден преносен компјутер низ регистрацијата

Новиот преносен компјутер генерира свој клуч и поднесува барање за сертификат, така што приватниот клуч никогаш не го напушта уредот. Издавачот потоа го потпишува барањето со тип што ги избира вистинските проширувања за клиентска улога. Во Easy-RSA тоа е ./easyrsa sign-req client laptop-a.

Операторот сепак мора да одлучи дека оваа личност заслужува пристап. Ниту една алатка за потпишување не изведува право од заедничко име.

Потпишаниот сертификат се враќа на уредот што го држи соодветниот клуч, а распоредувањето на VPN одделно обезбедува доверба во серверот, проверки на идентитетот, мрежна политика и барања за сметка. Датотека во излезниот директориум на издавачот не докажува ништо од тоа. Само завршено ракување го прави тоа.

Следете го истиот преносен компјутер на излез

Отстранувањето е местото каде изборот на издавач навистина се гледа. Употреблив работен тек го идентификува сертификатот, го запишува отповикувањето и го произведува она што им е потребно на системите што се потпираат за да го одбијат. Easy-RSA одвојува ./easyrsa revoke laptop-a од ./easyrsa gen-crl, а вториот чекор е оној што луѓето го забораваат. Генерирање на CRL кај издавачот не го доставува до ниту еден проверувач на VPN.

Дистрибуцијата, однесувањето при повторно вчитување и она што се случува со веќе воспоставените сесии се одлуки за распоредување, а не функции на алатката.

Таа празнина е практичниот аргумент за воспоставен работен тек наспроти куп ad hoc openssl команди. Тешкиот дел од водењето на издавач не е првиот сертификат. Туку одржувањето на усогласеност на евиденцијата за издавање, резервните копии, обновувањата и отстранувањата додека уредите доаѓаат и си одат.

Кога издавачот веќе постои

Ако вашата организација веќе води одобрена услуга за сертификати, регистрирајте се преку неа. Поставувањето втор CA затоа што упатството содржело Easy-RSA команди создава работа за дистрибуција на доверба, работа со резервни копии и уште една работа што треба правилно да се отповика.

Локалниот издавач е обврска да водите CA, а не поле за штиклирање во водич за поставување.

Кога Easy-RSA е правилниот избор

За мало приватно распоредување на кое навистина му треба сопствен издавач, Easy-RSA дава фокусиран работен тек без рачно составување на секоја операција. оригиналниот Easy-RSA водич ги покрива чекорите на барање, потпишување, отповикување и CRL по ред. Чувајте го материјалот за потпишување на CA кај неговиот определен сопственик; на клиентите им требаат сопствени акредитиви и релевантната јавна доверба, никогаш копија од клучот за потпишување.

Дизајнот на OpenVPN заснован на PIN е друг легитимен распоред на доверба, а не расипана PKI што чека поправка. И најавувањето на сметка не ја отстранува потребата да се автентицира серверот според кој и да е избран протокол.

Одговорете на четири прашања пред изборот: кој одобрува нов идентитет, каде живее неговиот приватен клуч, како сертификатот стигнува до клиентот и како пензиониран идентитет престанува да биде прифатен.