OpenVPN പീയർമാർക്കായി നിലവിലുള്ള എന്റർപ്രൈസ് CA ഉപയോഗിക്കുക

OpenVPN-ൽ ഒന്നും സർട്ടിഫിക്കറ്റ് Easy-RSA-യിൽ നിന്ന് വരണമെന്ന് ആവശ്യപ്പെടുന്നില്ല, കൂടാതെ ഇതിനകം ഓർഗനൈസേഷണൽ PKI ഉള്ള ഫ്ലീറ്റ് സാധാരണയായി രണ്ടാമത്തേത് നിർമ്മിക്കരുത്. യഥാർത്ഥ ജോലി ഒരു ഉപകരണം തിരഞ്ഞെടുക്കുന്നതല്ല, മറിച്ച് പുറപ്പെടുവിച്ച ഐഡന്റിറ്റികളുടെ അർത്ഥം എന്താണ്, ടണൽ ഏത് പീയർമാരെ സ്വീകരിക്കുന്നു, പുതുക്കലും റദ്ദാക്കലും പരിശോധകനിലേക്ക് എങ്ങനെ എത്തുന്നു എന്നിവ തീരുമാനിക്കുന്നതാണ്. താഴെയുള്ള അഞ്ച് ഘട്ടങ്ങൾ ക്രമത്തിൽ പൂർത്തിയാക്കുക, കാരണം പിന്നീടുള്ള ഘട്ടത്തിന് ആദ്യത്തേതിൽ എടുത്ത റോൾ തീരുമാനം പരിഹരിക്കാനാവില്ല.

ഒരു പങ്കിട്ട ഐഡന്റിറ്റിക്ക് പകരം രണ്ട് റോളുകൾ പുറപ്പെടുവിക്കുക

ഓരോ പീയർമാർക്കും സ്വന്തം സർട്ടിഫിക്കറ്റും അതിനോട് ചേരുന്ന സ്വകാര്യ കീയും വേണം. സെർവർ ഉപയോഗമുള്ള സെർവർ ഐഡന്റിറ്റിയും ക്ലയന്റ് ഉപയോഗമുള്ള പ്രത്യേക ക്ലയന്റ് ഐഡന്റിറ്റികളും PKI ടീമിനോട് ആവശ്യപ്പെടുക, ടണലിന് ഹാൻഡ്ഷേക്ക് സമയത്ത് രണ്ടിനെയും വേർതിരിച്ചറിയാൻ കഴിയേണ്ടതിന്.

സമയപരിധിയുടെ സമ്മർദത്തിൽ പ്രത്യക്ഷപ്പെടുന്ന കുറുക്കുവഴികളെ ചെറുക്കുക. ഒരു വെബ് സെർവറിന്റെ കീ ലാപ്ടോപ്പുകളിലേക്ക് പകർത്തുന്നത് റോൾ പരിശോധന ആശ്രയിക്കുന്ന വ്യത്യാസം മായ്ച്ചുകളയുന്നു, കൂടാതെ VPN എൻഡ്പോയിന്റിൽ ഇൻസ്റ്റാൾ ചെയ്ത CA സിഗ്നിംഗ് കീ ഒരു വിട്ടുവീഴ്ചയിലായ ഹോസ്റ്റിനെ വിട്ടുവീഴ്ചയിലായ ശ്രേണിയാക്കി മാറ്റുന്നു. PKCS12 ബണ്ടിലിന് എൻഡ്പോയിന്റ് കീയും അതിന്റെ ചെയിനും വഹിക്കാം, പക്ഷേ ആ ഐഡന്റിറ്റി മറ്റൊരു റോളിൽ വീണ്ടും ഉപയോഗിക്കാൻ ഇത് ഒരിക്കലും അനുമതി നൽകുന്നില്ല.

ഓരോ വശത്തും വിശ്വാസ ഇൻപുട്ടുകൾ ബന്ധിപ്പിക്കുക

ക്ലയന്റിനും സെർവറിനും ഓരോന്നിനും വിശ്വാസ ആങ്കർ, സ്വന്തം ഐഡന്റിറ്റി, വ്യക്തമായ റോൾ പ്രതീക്ഷ എന്നിവ വേണം. മൂന്നും പറയുന്ന ഒരു ക്ലയന്റ് ശകലം ഇങ്ങനെയിരിക്കും.

client
ca /etc/openvpn/pki/issuing-root.pem
cert /etc/openvpn/pki/device-17.crt
key /etc/openvpn/pki/device-17.key
remote-cert-tls server
verify-x509-name vpn.corp.example name
crl-verify /etc/openvpn/pki/issuing.crl

സെർവർ വശം remote-cert-tls client ഉം സ്വന്തം സർട്ടിഫിക്കറ്റും ഉപയോഗിച്ച് അത് പ്രതിഫലിപ്പിക്കുന്നു, ഇതാണ് ഒരു ക്ലയന്റ് സർട്ടിഫിക്കറ്റ് സെർവറായി സ്വീകരിക്കുന്നത് തടയുന്നത്. പേര് പരിശോധന റോൾ പരിശോധനയിൽ നിന്ന് വേറിട്ട തീരുമാനമാണ്. ബ്രൗസർ ശൈലിയിലുള്ള ഹോസ്റ്റ്നെയിം പൊരുത്തം അനുമാനിക്കുന്നതിന് പകരം ഏത് ഫീൽഡാണ് താരതമ്യം ചെയ്യുന്നതെന്ന് കാണാൻ വിന്യസിച്ച കോൺഫിഗറേഷൻ വായിക്കുക. ഫ്ലീറ്റിലുടനീളം പങ്കിട്ട ഫയൽ പാത്ത് പങ്കിട്ട നയത്തിന് തുല്യമല്ലാത്തതിനാൽ, ഏത് ഇഷ്യൂവറെയാണ് വിശ്വസിക്കുന്നതെന്ന് ഇരുവശങ്ങളും വ്യക്തമാക്കണം.

വിശ്വാസം വിശാലമാക്കാതെ ഇടനില സർട്ടിഫിക്കറ്റുകൾ എത്തിക്കുക

രണ്ട് വശങ്ങളും ഒരു ഇഷ്യൂ ചെയിനിൽ പങ്കുചേരേണ്ടതില്ല. ഒരു പീയർ ഇടനിലയാൽ ഒപ്പിട്ട സർട്ടിഫിക്കറ്റ് അവതരിപ്പിക്കുമ്പോൾ, പരിശോധിക്കുന്ന വശത്തിന് ആ ഇടനില ലഭ്യമായിരിക്കണം, കൂടാതെ പ്രാദേശികമായി അവതരിപ്പിച്ച ചെയിൻ പൂർത്തിയാക്കാൻ ഉപയോഗിക്കുന്ന അധിക സർട്ടിഫിക്കറ്റുകളിൽ നിന്ന് OpenVPN വിശ്വാസ ആങ്കർ ഇൻപുട്ടിനെ വേർതിരിക്കുന്നു. OpenVPN 2.6-ലെ TLS ഓപ്ഷൻ റഫറൻസ് രണ്ടും രേഖപ്പെടുത്തുന്നു.

ഇടനില CA സ്വതവേ ഒരു പ്രശ്നമല്ല, പക്ഷേ വിശ്വാസ ബണ്ടിലിലേക്ക് എറിയുന്ന വിശാല എന്റർപ്രൈസ് റൂട്ട് പ്രശ്നമാണ്. ആങ്കർ എത്ര വിശാലമോ അത്രയധികം സർട്ടിഫിക്കറ്റുകൾ ചെയിൻ പരിശോധന പാസാകുന്നു, റോൾ പരിശോധന അതിനെ അധികാരമുള്ള ജീവനക്കാരുടെ പട്ടികയാക്കി മാറ്റുന്നില്ല. ശ്രേണി അനുവദിക്കുന്നിടത്ത് യഥാർത്ഥത്തിൽ VPN ഐഡന്റിറ്റികളിൽ ഒപ്പിടുന്ന ഇഷ്യൂവറിലേക്ക് ആങ്കർ ചുരുക്കുക. അനുവദിക്കുന്നില്ലെങ്കിൽ, വിശാലമായ ആങ്കർ ഗൂഢമായി വിടുന്നതിന് പകരം ബോധപൂർവം സ്വീകരിച്ച അപകടസാധ്യതയായി രേഖപ്പെടുത്തുക.

പുതുക്കലും റദ്ദാക്കലും VPN പരിശോധകരിലേക്ക് എങ്ങനെ എത്തുന്നു, ഏത് ഇഷ്യൂവർമാർ പ്രധാനമാണ്, പട്ടിക ആരാണ് പ്രസിദ്ധീകരിക്കുന്നത് എന്നിവ ഉൾപ്പെടെ PKI ടീമുമായി യോജിക്കുക. സർട്ടിഫിക്കറ്റിൽ ഉൾച്ചേർത്ത CRL വിതരണ പോയിന്റ് ഒരു നിർദ്ദേശമാണ്, ആരോ അത് എടുത്തു എന്നതിന് തെളിവല്ല.

റദ്ദാക്കൽ യഥാർത്ഥത്തിൽ എങ്ങനെ വരുന്നു എന്ന് തീരുമാനിക്കുക

crl-verify പരിശോധകനെ ഒരു ഫയലോ എൻഡ്പോയിന്റോ സമീപിക്കാൻ പ്രേരിപ്പിക്കുന്നു, ആ ക്രമീകരണത്തിന് ഉടമയും പുതുക്കൽ പാതയും വേണം. വിന്യാസ വേളയിൽ ഒരിക്കൽ പകർത്തിയ പട്ടിക ഒരു സർട്ടിഫിക്കറ്റ് ആദ്യമായി റദ്ദാക്കുമ്പോൾ നിശ്ശബ്ദമായി നിങ്ങളെ സംരക്ഷിക്കുന്നത് നിർത്തുന്നു.

പ്രതീക്ഷിത വ്യാപന സമയം എഴുതിവയ്ക്കുക, റദ്ദാക്കാൻ തയ്യാറുള്ള ഒരു സർട്ടിഫിക്കറ്റ് ഉപയോഗിച്ച് പരിശോധിക്കുക. VPN ഹോസ്റ്റിൽ പട്ടിക പുതുക്കാൻ കഴിയുന്നില്ലെങ്കിൽ, ബദൽ ചെറിയ സാധുതാ കാലയളവും യഥാർത്ഥത്തിൽ പ്രവർത്തിക്കുന്ന പുതുക്കൽ പ്രക്രിയയുമാണ്, URL ഉള്ളതിനാൽ റദ്ദാക്കൽ പ്രവർത്തിക്കുന്നു എന്ന അനുമാനമല്ല.

യഥാർത്ഥ ക്ലയന്റ് ഉപയോഗിച്ച് സ്വീകരണം തെളിയിക്കുക

അനുവദിക്കേണ്ട ഒരു ക്ലയന്റ് ബന്ധിപ്പിച്ച് ലോഗിൽ ചർച്ച ചെയ്ത സർട്ടിഫിക്കറ്റ് വിശദാംശങ്ങൾ സ്ഥിരീകരിക്കുക. തുടർന്ന് പരാജയപ്പെടേണ്ട കേസുകൾ പരീക്ഷിക്കുക: സെർവറായി അവതരിപ്പിക്കുന്ന ക്ലയന്റ് സർട്ടിഫിക്കറ്റ്, വിശ്വാസ ആങ്കറിന് പുറത്തുള്ള ഇഷ്യൂവറുടെ സർട്ടിഫിക്കറ്റ്, ഒന്ന് മിച്ചമുണ്ടെങ്കിൽ റദ്ദാക്കിയ സർട്ടിഫിക്കറ്റ്.

സ്വീകരിച്ച ഇഷ്യൂവർ, റോൾ പരിശോധന, റദ്ദാക്കലിന്റെ ഉറവിടം എന്നിവ പ്രൊഫൈലിന് അടുത്ത് രേഖപ്പെടുത്തുക. കഴിഞ്ഞ മാസം പ്രവർത്തിച്ച ഒരു ഉപകരണം ബന്ധിപ്പിക്കുന്നത് നിർത്തുമ്പോൾ അടുത്ത എൻജിനീയർക്ക് ആ രേഖയാണ് വേണ്ടത്, കൂടാതെ എന്റർപ്രൈസ് CA പൊതു ഉദ്ദേശ്യത്തിലുള്ള വിശ്വാസ ഡംപ് ആയല്ല, രേഖപ്പെടുത്തിയ സ്വീകരണ അതിർത്തിക്കുള്ളിൽ ഉപയോഗിക്കുന്നു എന്നതിന് തെളിവുമാണ്.