AWS Client VPN: клиентийн гэрчилгээг ямар CA олгох ёстой вэ?
Одоо байгаа CA, өөрөө удирддаг олгогч болон AWS Private CA ажлыг өөрөөр хуваадаг. Эхлэхийн өмнө клиентийн гэрчилгээг хэн зөвшөөрч, шинэчилж, хүчингүй болгодогийг шийдээрэй.
AWS Client VPN дээрх гэрчилгээний асуудлыг бүтээгдэхүүний асуулт болгон тавьдаг боловч энэ нь үнэндээ үйл ажиллагааны асуулт юм. Ердийн гурван тохиргооны аль нь ч ажиллаж буй туннелийг хадгална: одоо байгаа байгууллагын CA, тусгайлан өөрөө удирддаг олгогч эсвэл AWS Private CA. Тэд төхөөрөмжийг хэн зөвшөөрдөг, гарын үсгийн түлхүүрийг хэн хадгалдаг, тохиромжгүй цагт зөөврийн компьютер алга болоход хэн хариу өгдөгээрээ ялгаатай. Эзэмшигчийг нь та нэрлэж чадах хувилбарыг сонгоно уу.
AWS гэрчилгээний баталгаажуулалтад Private CA шаарддаггүй. Серверийн гэрчилгээг ACM-д байрлуулах нь байршуулалтын алхам бөгөөд бүртгэлийн процесс биш.
Шийдвэрийг тодорхойлдог гурван нөхцөл
Гурван нөхцөл хувилбаруудыг тодорхой ялгадаг: зөвшөөрөгдсөн төхөөрөмжийн бүртгэлийн процесс аль хэдийн байгаа эсэх, нөөц хуулбар болон нэрлэсэн эзэмшигчтэй гарын үсгийн түлхүүрийг удирдаж чадах эсэх, хүчингүй болголт эцсийн цэгт хэрхэн хүрэх. Нөхцөл бүр «тийм» эсвэл «үгүй»-д ойрхон бөгөөд эхний «үгүй» ихэвчлэн архитектурыг шийддэг.
Тэдгээрийг дарааллаар нь үзээрэй. Шууд зардлын харьцуулалт руу үсрэх нь багууд удирдлагатай CA-тай үлдэж, дараагийн зөөврийн компьютерын гэрчилгээг хэн олгохыг хэн ч мэдэхгүй байдалд хүргэдэг.
| Option | You still own | Fits when |
|---|---|---|
| Existing organizational CA | Enrollment, approvals, revocation list | A device process already exists |
| Self-run issuer | Signing-key custody, backups, revocation list | You can staff key custody |
| AWS Private CA | Policy, permissions, certificate delivery | Your PKI already lives in AWS |
Эхний нөхцөл: бүртгэл аль хэдийн байна уу?
Хэрэв танай байгууллага зөвшөөрөгдсөн төхөөрөмжийн бүртгэлийн зам бүхий CA-г аль хэдийн удирдаж байгаа бол түүнээс Client VPN-ийн клиентийн гэрчилгээг олгох нь хамгийн богино зам. Зөвшөөрөл, процесс, хөрөнгийн бүртгэл аль хэдийн тэнд байна. Тэр шатлалын дор тусгайлан захирагдсан олгогч нь ерөнхий зориулалтын олгогч CA-аас ихэвчлэн дээр, учир нь VPN-д өөрийн итгэлийн хил, өөрийн хүчингүй болголтын жагсаалтыг өгдөг. Тэр жагсаалтыг шатлалын бусад хэсгээс тусгаар байлгаарай, ингэснээр VPN-ийн тохиолдол бүх PKI-д өөрчлөлт шаардахгүй.
Ийм процесс байхгүй бол жинхэнэ асуулт нь та үүнийг бүтээхийг хүсэж байгаа эсэх юм. CA-г эхлүүлэхэд хялбар, муу эзэмшихэд үнэтэй.
Хоёр дахь нөхцөл: гарын үсгийн түлхүүрийг удирдаж чадах уу?
Өөрөө удирддаг олгогч нь баримтжуулсан импортын загвараар ажилладаг бөгөөд EasyRSA эсвэл жижиг дотоод хэрэгсэл материалыг үйлдвэрлэж чадна. Командыг ажиллуулах нь хэцүү хэсэг биш. Хэцүү хэсэг нь гарын үсгийн түлхүүрийн офлайн нөөц хуулбар, хэн нэгэн үнэхээр туршиж үзсэн сэргээх зам, амралтгүй эзэмшигч, түлхүүр хэзээ ч клиентийн багц эсвэл тохиргооны экспортод орохгүй гэсэн дүрэм юм. Үүнийг эхний гэрчилгээ олгогдохоос өмнө журам болгон бичээрэй, эхний тохиолдлын дараа биш.
AWS Private CA тэр хадгалалтыг удирдлагатай үйлчилгээ рүү шилжүүлдэг. Бүртгэлийн бодлого, зөвшөөрлийн алхам эсвэл гэрчилгээг төхөөрөмжид хүргэхийг шилжүүлдэггүй.
Гурав дахь нөхцөл: хүчингүй болголт хэрхэн ирдэг вэ?
Client VPN нь таны эцсийн цэгт импортолдог клиентийн гэрчилгээний хүчингүй болголтын жагсаалтыг ашигладаг, гэрчилгээний амьдралын мөчлөгийн гарын авлагад тайлбарласны дагуу. PKI-ийн өөр газар CRL нийтлэх нь үүнийг үйлчилгээ рүү түлхэхгүй. Импорт нь тусдаа, төлөвлөсөн үйл ажиллагаа бөгөөд хугацаа дууссан жагсаалт чимээгүй муудахаас илүү холболтыг зогсоодог. Шинэчлэлтийг гэрчилгээнүүдийн адил хуанлид тавь.
Энэ нь шинэчлэлтийг эзэмшигчтэй хяналтын зүйл болгодог, эхлүүлэх үед дуусдаг ажил биш. Механизм үнэхээр хэрэгтэй болохоос өмнө нэг туршилтын гэрчилгээг эхнээс нь дуустал хүчингүй болго.
Ямар ч хувилбар арилгадаггүй зүйл
Хувилбар бүрд одоо ч бие даан удирдагдах төхөөрөмж бүрт тусдаа клиентийн гэрчилгээ болон түлхүүр хэрэгтэй. Бүгдэд нэг таних тэмдэг тараадаг заавар бол зааврын товчлол бөгөөд сонгомол хүчингүй болголтыг ч боломжгүй болгодог.
ACM-д импортолсон серверийн гэрчилгээнд удирдлагатай шинэчлэлт байхгүй тул эзэмшигч орлуулагчийг авч, дахин импортолж, дараа нь эцсийн цэг үүнийг хүлээн авсныг баталгаажуулах ёстой. Серверийн гэрчилгээг шинэчлэх нь зөөврийн компьютерт аль хэдийн байгаа клиентийн итгэмжлэлийг шинэчлэхгүй. Эдгээр нь тусдаа хуанлитай тусдаа амьдралын мөчлөг юм.
Ямар нэгэн зүйл олгохоос өмнө үйлчилгээний хүлээн авдаг түлхүүрийн төрөл, өргөтгөлийг шалгаарай. CA алгоритмыг дэмждэг нь эцсийн цэг үүнийг хүлээн авна гэсэн үг биш.
Эхлэхийн өмнө сонгосон ажлын урсгалаар нэг шинэчлэлт, нэг клиентийг хасах үйлдлийг хийж, аль итгэмжлэл өөрчлөгдсөн, аль эцсийн цэгийн тохиргоо өөрчлөгдсөн, идэвхтэй сессэд юу тохиолдсоныг бичээрэй. Хэрэв энэ дасгал тодорхой эзэмшигчгүйгээр дуусвал олгогчийн сонголт дуусаагүй байна.