OpenVPN-д Easy-RSA хэрэгтэй юу? Энэ нь CA хэнд байгаагаас хамаарна

Нэг зааварт OpenVPN-г тохируулахын өмнө Easy-RSA суулгах хэрэгтэй гэж бичсэн байдаг тул хүмүүс хоёулаа нэг багц гэж боддог. Тийм биш. Easy-RSA бол OpenSSL-г удирддаг PKI удирдлагын хэрэгсэл, OpenVPN бол туннель юм. Нэг нь хэнд итгэхийг шийднэ, нөгөө нь багцуудыг зөөнө.

Чухал харьцуулалт нь аль хэрэгсэл илүү сайн гэдэгт биш. Харин танай байгууллагад хэвлэгч хэнд байгаад оршино.

Easy-RSA үнэндээ юу вэ

Төсөл өөрийгөө X.509 PKI удирдлагын хэрэгсэл гэж тодорхойлдог бөгөөд криптограф ажлыг OpenSSL гүйцэтгэдэг. Энэ нь түлхүүр үүсгэх, гэрчилгээний хүсэлт, гарын үсгийн бодлого, хүчингүй болгох үйлдлийг давтагдах каталогийн бүтцэд боож өгдөг гэсэн үг. Энэ нь аль хэдийн бий болсон туннельд шифрлэлтийн давхарга нэмэхгүй бөгөөд өөр чадварлаг хэрэгслээс гарсан ижил түлхүүрээс RSA-г илүү хүчирхэг болгохгүй. Харин ажлын урсгалыг шалгаж болохуйц болгодог.

Энэ бол жинхэнэ ашиг, гэхдээ криптограф бус, үйл ажиллагааны ашиг.

Нэг зөөврийн компьютерыг бүртгэлийн явцад дагана уу

Шинэ зөөврийн компьютер өөрийн түлхүүрийг үүсгэж, гэрчилгээний хүсэлт илгээдэг тул хувийн түлхүүр хэзээ ч төхөөрөмжөөс гарахгүй. Дараа нь хэвлэгч тухайн хүсэлтэд харилцагчийн үүрэгт тохирох өргөтгөлийг сонгодог төрлөөр гарын үсэг зурдаг. Easy-RSA-д энэ нь ./easyrsa sign-req client laptop-a.

Оператор тухайн хүн нэвтрэх эрхтэй гэдгийг ямар ч тохиолдолд шийдэх ёстой. Ямар ч гарын үсгийн хэрэгсэл нийтлэг нэрнээс эрх гаргаж авдаггүй.

Гарын үсэг зурсан гэрчилгээ буцаж тохирох түлхүүр бүхий төхөөрөмж рүү очно, харин VPN-ийн байршуулалт серверийн итгэл, таних шалгалт, сүлжээний бодлого, бүртгэлийн шаардлагыг тусад нь хангадаг. Хэвлэгчийн гаралтын каталог дахь файл эдгээрийн аль нэгийг ч батлахгүй. Зөвхөн дууссан гар барилт л үүнийг батална.

Мөн тэр зөөврийн компьютерыг гарч байгааг дагана уу

Хэвлэгчийн сонголт үнэхээр харагдах газар бол устгах үйлдэл юм. Ашиглаж болох ажлын урсгал гэрчилгээг таньж, хүчингүй болгосныг бүртгэж, түүнд найдаж буй системүүдэд татгалзахад хэрэгтэй зүйлийг үйлдвэрлэдэг. Easy-RSA нь ./easyrsa revoke laptop-a ба ./easyrsa gen-crl хоёрыг ялгадаг бөгөөд хоёр дахь алхам нь хүмүүсийн мартдаг алхам юм. Хэвлэгч дээр CRL үүсгэх нь түүнийг ямар ч VPN шалгагчид хүргэхгүй.

Тархалт, дахин ачаалах үеийн зан төлөв, аль хэдийн тогтсон сессүүдэд юу тохиолдох нь байршуулалтын шийдвэр, хэрэгслийн шинж биш.

Энэ завсар нь тогтсон ажлын урсгалын талд гаргах практик үндэслэл бөгөөд ad hoc openssl командуудын овоонд эсрэг. Хэвлэгчийг удирдахад хэцүү хэсэг нь эхний гэрчилгээ биш. Төхөөрөмжүүд орж гарахын хооронд хэвлэлийн бүртгэл, нөөц хуулбар, шинэчлэл, устгалыг уялдуулан байлгах явдал юм.

Хэвлэгч аль хэдийн байгаа үед

Хэрэв танай байгууллага аль хэдийн зөвшөөрөгдсөн гэрчилгээний үйлчилгээ ажиллуулж байгаа бол түүгээр бүртгүүлээрэй. Зааварт Easy-RSA команд байсан учраас хоёр дахь CA босгох нь итгэлийг түгээх ажил, нөөц хуулбарын ажил, зөв хүчингүй болгох ёстой өөр нэг зүйлийг бий болгодог.

Орон нутгийн хэвлэгч бол CA ажиллуулах амлалт, тохиргооны гарын авлагын чек жагсаалт биш.

Easy-RSA хэзээ зөв сонголт вэ

Өөрийн хэвлэгч үнэхээр хэрэгтэй жижиг хувийн байршуулалтад Easy-RSA үйлдэл бүрийг гараар угсрахгүйгээр төвлөрсөн ажлын урсгал өгдөг. Easy-RSA-н эх гарын авлага нь хүсэлт, гарын үсэг, хүчингүй болгох, CRL-ийн алхмуудыг дарааллаар нь хамардаг. CA-н гарын үсгийн материалыг түүний томилогдсон эзэнд нь хадгал; харилцагчдад өөрийн итгэмжлэл, холбогдох нийтийн итгэл хэрэгтэй, гарын үсгийн түлхүүрийн хуулбар хэзээ ч биш.

PIN-д суурилсан OpenVPN загвар нь итгэлийн өөр нэг хууль ёсны зохион байгуулалт бөгөөд засвар хүлээж буй эвдэрсэн PKI биш. Мөн бүртгэлд нэвтрэх нь таны сонгосон аль ч протоколын дагуу серверийг баталгаажуулах шаардлагыг арилгахгүй.

Сонгохоос өмнө дөрвөн асуултад хариулна уу: шинэ танихыг хэн зөвшөөрдөг, түүний хувийн түлхүүр хаана амьдардаг, гэрчилгээ харилцагчид хэрхэн хүрдэг, тэтгэвэрт гарсан таних хэрхэн хүлээн зөвшөөрөгдөхөө болих вэ.