CA വീണ്ടും നിർമ്മിക്കാതെ VPN ക്ലയന്റ് ചേർക്കുക

ഒരു ലാപ്ടോപ്പ് കൂടി ഉണ്ടാകുമ്പോൾ ഒരു സർട്ടിഫിക്കറ്റ് കൂടി വേണം, പക്ഷേ തിരയൽ ഫലങ്ങളിലെ ആദ്യ ട്യൂട്ടോറിയൽ PKI ഡയറക്ടറി മായ്ക്കുന്ന കമാൻഡിൽ തുടങ്ങുന്നു. ആ കമാൻഡ് ആദ്യ സജ്ജീകരണത്തിന്റേതാണ്, രജിസ്ട്രേഷന്റേതല്ല, അത് പ്രവർത്തിപ്പിച്ചാൽ CA, ഇഷ്യൂ ചരിത്രം, പഴയ ഇഷ്യൂവറെ വിശ്വസിച്ച എല്ലാ ക്ലയന്റ് പ്രൊഫൈലുകളും നഷ്ടമാകും. തീരുമാനം ഇടുങ്ങിയതാണ്: ഇഷ്യൂവറിന് ഇനിയും ഉപയോഗയോഗ്യമായ അവസ്ഥയുണ്ടോ, പുതിയ ഉപകരണം നിങ്ങളുടെ രജിസ്ട്രേഷൻ നയത്തിന് യോജിക്കുന്നുവോ? മൂന്ന് നിബന്ധനകൾ അത് തീരുമാനിക്കുന്നു, ഒന്ന് മാത്രമാണ് പുനർനിർമ്മാണത്തെ ന്യായീകരിക്കുന്നത്.

പുനർനിർമ്മാണം യഥാർത്ഥത്തിൽ നശിപ്പിക്കുന്നത്

PKI വീണ്ടും ആരംഭിക്കുമ്പോൾ ഡയറക്ടറി ശൂന്യമായ ഘടനയാൽ മാറ്റപ്പെടുന്നു: പുതിയ CA കീയും സർട്ടിഫിക്കറ്റും, ശൂന്യമായ ഇഷ്യൂ ഡാറ്റാബേസും, പുതിയ ക്രമ നമ്പർ കൗണ്ടറും. ക്ലയന്റുകൾ സ്വയം പിന്തുടരുന്നില്ല; അവയുടെ പ്രൊഫൈലുകൾ പഴയ CA പിൻ ചെയ്യുന്നു, അതിനാൽ ഓരോ ഉപകരണവും വീണ്ടും രജിസ്റ്റർ ചെയ്യണം, എത്തിച്ചേരാനാകാത്തവ കൈകൊണ്ട്.

കൂടുതൽ നിശബ്ദമായ നഷ്ടം അക്കൗണ്ടിംഗ് ആണ്. റദ്ദാക്കൽ ഏത് ക്രമ നമ്പറുകൾ ആർക്ക് നൽകി എന്ന് അറിയുന്നതിൽ ആശ്രയിച്ചിരിക്കുന്നു. സൂചിക മായ്ച്ചാലും ഒപ്പിടാം, പക്ഷേ ബാക്കിയുള്ള സർട്ടിഫിക്കറ്റുകളിൽ ഏതാണ് റദ്ദാക്കാൻ ഉദ്ദേശിച്ചതെന്ന് ഉറപ്പിച്ച് പറയാനാകില്ല. ഇഷ്യൂവർ അവസ്ഥയില്ലാതെ സർട്ടിഫിക്കറ്റുകളുള്ള CA ഡയറക്ടറി സിസ്റ്റത്തിന്റെ തെറ്റായ പകുതി പുനഃസ്ഥാപിക്കുന്ന ബാക്കപ്പാണ്.

CA യുടെ സ്വകാര്യ കീ പ്രവർത്തിക്കുന്ന സർവറിന് അരികിൽ പകർത്തുന്നത് വേണ്ടെന്ന് വയ്ക്കേണ്ട മറ്റൊരു എളുപ്പവഴിയാണ്: ഓഫ്‌ലൈനിൽ സൂക്ഷിക്കേണ്ട ഒപ്പിടൽ അധികാരത്തെ വിശ്വാസയോഗ്യമല്ലാത്ത ട്രാഫിക് കൈകാര്യം ചെയ്യുന്ന ഹോസ്റ്റിലെ മറ്റൊരു ഫയലാക്കി മാറ്റുന്നു.

ആദ്യ നിബന്ധന: ഇഷ്യൂവർ അവസ്ഥ ഇനിയും എത്താവുന്നതാണോ

തീരുമാനിക്കും മുൻപ് സർവർ യഥാർത്ഥത്തിൽ വിശ്വസിക്കുന്ന ഡയറക്ടറി കണ്ടെത്തുക. സർവർ CA ആയി അവതരിപ്പിക്കുന്ന സർട്ടിഫിക്കറ്റ് PKI ഡയറക്ടറിയിലേതുമായി വിരലടയാളം കൊണ്ട് താരതമ്യം ചെയ്യുക, ഫയൽ പേര് കൊണ്ടല്ല:

openssl x509 -in ca.crt -noout -fingerprint -sha256
openssl x509 -in /etc/openvpn/ca.crt -noout -fingerprint -sha256

വിരലടയാളങ്ങൾ ഒത്താൽ രജിസ്ട്രേഷൻ കൂട്ടിച്ചേർക്കലാണ്, ഒന്നും പുനർനിർമ്മിക്കേണ്ടതില്ല. വ്യത്യസ്തമായാൽ സർവർ വിശ്വസിക്കാത്ത CA ഉപയോഗിച്ച് ഒപ്പിടുന്നു: സർട്ടിഫിക്കറ്റ് വൃത്തിയായി ഇൻസ്റ്റാൾ ചെയ്യും പക്ഷേ ഹാൻഡ്ഷേക്കിൽ പരാജയപ്പെടും, ആ പിശക് മണിക്കൂറുകളോളം ക്ലയന്റ് ബഗ് എന്ന് തെറ്റായി നിർണ്ണയിക്കപ്പെടും.

പിന്നീട് ഇഷ്യൂ അവസ്ഥ തിരയുക: സൂചിക ഫയൽ, ക്രമ കൗണ്ടർ, CRL നമ്പർ ഫയൽ. സൂചിക ഇല്ലെങ്കിലും കീ ഉണ്ടെങ്കിൽ ഇഷ്യൂ ചെയ്യാം, പക്ഷേ റദ്ദാക്കൽ രേഖപ്പെടുത്തുന്ന പ്രശ്നം പാരമ്പര്യമായി ലഭിക്കും. അടുത്ത റദ്ദാക്കൽ അഭ്യർത്ഥന അത് വെളിപ്പെടുത്തും എന്നതിനാൽ മാറ്റരേഖയിൽ കുറിക്കുക.

രണ്ടാം നിബന്ധന: പുതിയ സ്വകാര്യ കീ ആരുടെ കൈവശം

ഉപയോക്താക്കൾ അനുഭവിക്കുന്ന തീരുമാനമാണിത്, അതിനാൽ വ്യക്തമായി എടുക്കുക. ക്ലയന്റിൽ സൃഷ്ടിച്ച് അഭ്യർത്ഥനയായി അയയ്ക്കുന്ന കീ സ്വകാര്യ പകുതി ആദ്യ കമാൻഡ് മുതൽ ഉപകരണത്തിൽ നിർത്തുന്നു, അഡ്മിൻ അത് ഒരിക്കലും തൊടുന്നില്ല. സർവറിൽ സൃഷ്ടിക്കുന്ന കീ ഉപകരണങ്ങളില്ലാത്ത ഉപകരണങ്ങൾക്ക് എളുപ്പമാണ്, പക്ഷേ അഡ്മിനെ എല്ലാ കീയുടെയും സൂക്ഷിപ്പുകാരനാക്കി സർവർ ലംഘനത്തിന്റെ ആഘാതം വിശാലമാക്കുന്നു.

നിലവിലുള്ള CA യ്ക്കെതിരെ Easy-RSA 3 ഉപയോഗിച്ച് അഭ്യർത്ഥന ഇറക്കുമതി ചെയ്യലും ഒപ്പിടലും രണ്ട് കമാൻഡുകളാണ്:

./easyrsa import-req /tmp/alice.req alice
./easyrsa sign-req client alice

സർട്ടിഫിക്കറ്റ് തരം ബോധപൂർവം തിരഞ്ഞെടുക്കുക. ക്ലയന്റിന് പകരം സർവർ സർട്ടിഫിക്കറ്റായി ഒപ്പിടുന്ന അഭ്യർത്ഥന നല്ലതുപോലെ തോന്നുന്ന പക്ഷേ എതിർകക്ഷി നിരസിക്കുന്ന ഫയൽ നൽകുന്നു, പിശക് സന്ദേശം കാരണം അപൂർവ്വമായേ പറയൂ. openssl ca ഉപയോഗിച്ച് ഒപ്പിടുമ്പോൾ അതേ തിരഞ്ഞെടുപ്പ് നിങ്ങൾ നൽകുന്ന എക്സ്റ്റൻഷനുകളിലാണ്, സ്ഥിരസ്ഥിതി വിഭാഗത്തിലല്ല.

മൂന്നാം നിബന്ധന: സർവറിന് സർട്ടിഫിക്കറ്റിനേക്കാൾ കൂടി വേണോ

സർട്ടിഫിക്കറ്റ് പ്രാമാണീകരണമുള്ള സാധാരണ OpenVPN സർവറിന് സർട്ടിഫിക്കറ്റ് തന്നെയാണ് രജിസ്ട്രേഷൻ: പൊതുനാമം ക്ലയന്റിന്റെ ഐഡന്റിറ്റിയാകുന്നു, ഏത് ഡയറക്ടറിയും തള്ളുന്ന റൂട്ടും സ്ഥിര വിലാസവും ആ പേരിനെ ആശ്രയിക്കുന്നു. സർട്ടിഫിക്കറ്റ് ചേർത്ത് കോൺഫിഗർ മറന്നാൽ ടണൽ ബന്ധിപ്പിക്കും പക്ഷേ ആവശ്യമായ റൂട്ടുകൾ കാണില്ല.

പ്ലാറ്റ്ഫോമുകൾ ഇത് മാറ്റുന്നു. OpenVPN Access Server-ന് സ്വന്തം ഉപയോക്തൃ ഡാറ്റാബേസുണ്ട്, അതിനാൽ ഒപ്പിട്ട സർട്ടിഫിക്കറ്റ് അക്കൗണ്ടല്ല; അക്കൗണ്ട് ഉണ്ടാകണം, അനുവദിക്കപ്പെടണം. മറ്റ് ഗേറ്റ്‌വേകൾ ഐഡന്റിറ്റി സ്ട്രിംഗ് ഗ്രൂപ്പിലേക്ക് ബന്ധിപ്പിക്കുന്നു. ഒരു ഉപകരണത്തിന്റെ രജിസ്ട്രേഷൻ സാധാരണയായി രണ്ട് സിസ്റ്റങ്ങളെ സ്പർശിക്കുന്നു, സർട്ടിഫിക്കറ്റ് ആദ്യത്തേത് മാത്രം.

കൂട്ടിച്ചേർക്കൽ നടപടിക്രമവും എപ്പോൾ പുനർനിർമ്മാണം ശരി

നഷ്ടമില്ലാതെ ഒരു ഉപകരണം ചേർക്കുന്ന ക്രമം: വിരലടയാളം കൊണ്ട് ഇഷ്യൂവർ സ്ഥിരീകരിക്കുക, PKI ഡയറക്ടറിയുടെ പുതിയ ബാക്കപ്പ് എടുക്കുക, ക്ലയന്റ് റോളിലേക്കുള്ള അഭ്യർത്ഥന ഇറക്കുമതി ചെയ്ത് ഒപ്പിടുക, അംഗീകൃത ചാനലിലൂടെ ചങ്ങലയോടെ സർട്ടിഫിക്കറ്റ് നൽകുക, ഉപയോക്താവ് ബന്ധിപ്പിക്കും മുൻപ് പരിശോധിക്കുക:

openssl verify -CAfile ca.crt alice.crt
openssl x509 -in alice.crt -noout -subject -issuer -dates -purpose

ഉദ്ദേശ്യ വരിയിൽ SSL client കാണണം. ഇഷ്യൂവിന് ശേഷം CA ബാക്കപ്പ് പുതുക്കി അവസാനിപ്പിക്കുക, പുതിയ ക്രമ നമ്പർ രേഖപ്പെടുത്തും മുൻപ് എടുത്ത ബാക്കപ്പ് ഇപ്പോൾ ചേർത്ത ഉപകരണമില്ലാത്ത അവസ്ഥ തിരികെ നൽകും.

പുനർനിർമ്മാണം മൂന്ന് സന്ദർഭങ്ങളിൽ ശരിയാണ്: CA കീ ലംഘിക്കപ്പെട്ടു, ഇഷ്യൂ അവസ്ഥ തിരികെ കിട്ടാത്തവിധം നഷ്ടമായി, അല്ലെങ്കിൽ കീ അൽഗോരിതം അല്ലെങ്കിൽ സർട്ടിഫിക്കറ്റ് നയം ബോധപൂർവം മാറ്റുന്നു. മൂന്നും ഓരോ ക്ലയന്റിനും പുനർരജിസ്ട്രേഷൻ പ്ലാൻ ആവശ്യമുള്ള പദ്ധതികളാണ്, ഒരു ഉപകരണത്തിന്റെ അഭ്യർത്ഥനയിലെ ഘട്ടങ്ങളല്ല. ഒന്നും ബാധകമല്ലെങ്കിൽ കൂട്ടിച്ചേർക്കലായി രജിസ്റ്റർ ചെയ്യുക.