CA-г дахин бүтээхгүйгээр VPN клиент нэмэх

Дахиад нэг зөөврийн компьютерт дахиад нэг гэрчилгээ хэрэгтэй, гэхдээ хайлтын үр дүнгийн эхний заавар нь PKI хавтасыг устгах командаар эхэлдэг. Тэр команд нь анхны тохиргоонд хамаарах бөгөөд бүртгэлд биш, ажиллуулбал CA, олголтын түүх, хуучин гаргагчид итгэсэн бүх клиент профайлыг алдана. Шийдвэр илүү нарийн: гаргагчид ашиглах боломжтой төлөв үлдсэн үү, шинэ төхөөрөмж таны бүртгэлийн бодлогод нийцэх үү? Гурван нөхцөл шийдэх бөгөөд зөвхөн нэг нь дахин бүтээхийг зөвтгөнө.

Дахин бүтээх нь үнэхээр юуг устгадаг

PKI-г дахин эхлүүлэх нь хавтасыг хоосон бүтцээр солино: шинэ CA түлхүүр ба гэрчилгээ, хоосон олголтын сан, шинэ серийн дугаарын тоолуур. Клиентүүд өөрсдөө дагахгүй; профайл нь хуучин CA-г тогтоодог тул төхөөрөмж бүр дахин бүртгүүлэх ёстой, хүрч чадахгүй нь гараар.

Илүү нам гүм алдагдал нь бүртгэл юм. Хүчингүй болгох нь ямар серийн дугаарыг хэнд олгосноо мэдэхээс хамаарна. Индексийг устгавал гарын үсэг зурж болно, гэхдээ үлдсэн гэрчилгээнүүдийн алийг хүчингүй болгох гэснээ итгэлтэй хэлж чадахгүй. Гаргагчийн төлөвгүй гэрчилгээтэй CA хавтас нь системийн буруу хагасыг сэргээдэг нөөц хуулбар юм.

CA-ийн хувийн түлхүүрийг ажиллаж буй серверийн дэргэд хуулах нь татгалзах ёстой өөр нэг богино зам: сүлжээнээс гадуур байх ёстой гарын үсгийн эрх мэдлийг итгэмжлэгдээгүй урсгалтай хост дээрх өөр нэг файл болгоно.

Эхний нөхцөл: гаргагчийн төлөв хүрч болох уу

Шийдэхээс өмнө сервер үнэхээр итгэдэг хавтасыг ол. Серверийн CA гэж үзүүлж буй гэрчилгээг PKI хавтасныхтай хурууны хээгээр харьцуул, файлын нэрээр биш:

openssl x509 -in ca.crt -noout -fingerprint -sha256
openssl x509 -in /etc/openvpn/ca.crt -noout -fingerprint -sha256

Хээ таарвал бүртгэл нэмэлт бөгөөд юу ч дахин бүтээхгүй. Ялгаатай бол серверийн итгэдэггүй CA-аар гарын үсэг зурна: гэрчилгээ цэвэр суурилагдаад гар барих үед бүтэлгүйтнэ, тэр алдааг цагаар клиентийн алдаа гэж буруу оношилно.

Дараа нь олголтын төлөвийг хай: индексийн файл, серийн тоолуур, CRL дугаарын файл. Индекс байхгүй ч түлхүүр байвал олгож болно, гэхдээ хүчингүй болгохыг бүртгэх асуудлыг өвлөнө. Үүнийг өөрчлөлтийн бүртгэлд тэмдэглэ, дараагийн хүчингүй болгох хүсэлт үүнийг илрүүлнэ.

Хоёр дахь нөхцөл: шинэ хувийн түлхүүр хэнд байна

Энэ нь хэрэглэгчдийн мэдрэх шийдвэр тул тодорхой гарга. Клиент дээр үүсгэж хүсэлтээр илгээсэн түлхүүр нь хувийн хагасыг эхний командаас эхлэн төхөөрөмж дээр үлдээдэг бөгөөд администратор хэзээ ч хүрэхгүй. Сервер дээр үүсгэсэн түлхүүр нь хэрэгсэлгүй төхөөрөмжид хялбар боловч администраторыг бүх түлхүүрийн хамгаалагч болгож, серверийн эвдрэлийн нөлөөг өргөжүүлнэ.

Одоо байгаа CA-ийн эсрэг Easy-RSA 3-аар хүсэлтийг импортолж гарын үсэг зурах нь хоёр команд:

./easyrsa import-req /tmp/alice.req alice
./easyrsa sign-req client alice

Гэрчилгээний төрлийг санаатай сонго. Клиентийн оронд серверийн гэрчилгээгээр гарын үсэг зурсан хүсэлт нь сайн харагдах боловч тал түншээс татгалздаг файл өгдөг, алдааны мэдээлэл шалтгааныг ховор хэлнэ. openssl ca-аар зурвал мөн сонголт нь таны өгч буй өргөтгөлд байна, анхдагч хэсэгт биш.

Гурав дахь нөхцөл: серверт гэрчилгээнээс илүү зүйл хэрэгтэй юу

Гэрчилгээний баталгаажуулалттай энгийн OpenVPN серверт гэрчилгээ нь өөрөө бүртгэл: нийтлэг нэр нь клиентийн таних тэмдэг болж, аливаа хавтас, түлхэж буй зам эсвэл статик хаяг тэр нэрээс хамаарна. Гэрчилгээг нэмээд тохиргоог мартвал туннель холбогдоно, гэхдээ шаардлагатай замууд гарч ирэхгүй.

Платформууд үүнийг өөрчилдөг. OpenVPN Access Server өөрийн хэрэглэгчийн сантай тул гарын үсэг зурсан гэрчилгээ нь бүртгэл биш; бүртгэл байх ёстой бөгөөд зөвшөөрөгдсөн байх ёстой. Бусад гарцууд таних хэлхээг бүлэгт холбодог. Нэг төхөөрөмж бүртгэх нь ихэвчлэн хоёр системд хүрдэг, гэрчилгээ нь зөвхөн эхнийх.

Нэмэлт журам ба дахин бүтээх нь зөв үе

Хор хөнөөлгүйгээр нэг төхөөрөмж нэмэх дараалал: гаргагчийг хурууны хээгээр баталгаажуул, PKI хавтасны шинэ нөөцийг ав, клиентийн үүргийн хүсэлтийг импортолж гарын үсэг зур, гэрчилгээг гинжин хэлхээтэй нь зөвшөөрөгдсөн сувгаар хүргэ, дараа нь хэрэглэгч холбогдохын өмнө шалга:

openssl verify -CAfile ca.crt alice.crt
openssl x509 -in alice.crt -noout -subject -issuer -dates -purpose

Зорилгын мөрөнд SSL client харагдах ёстой. Олголтын дараа CA нөөцийг шинэчилж дуусга, учир нь шинэ серийн дугаар бүртгэгдэхийн өмнө авсан нөөц нь дөнгөж нэмсэн төхөөрөмжгүй төлөвийг сэргээнэ.

Дахин бүтээх нь гурван тохиолдолд зөв: CA түлхүүр эвдэрсэн, олголтын төлөв нөхөх боломжгүйгээр алдагдсан, эсвэл түлхүүрийн алгоритм эсвэл гэрчилгээний бодлогыг санаатай өөрчилж байна. Гурвуулаа бүх клиентийг дахин бүртгэх төлөвлөгөө шаардсан төсөл, нэг төхөөрөмжийн хүсэлтийн алхам биш. Аль нь ч хамаарахгүй бол нэмэлтээр бүртгэ.