Нэг төхөөрөмжид нэг гэрчилгээ байх нь түлхүүрийг төхөөрөмжид холбодоггүй
Төхөөрөмж бүрт гэрчилгээ олгох нь захиргааны сонголт бөгөөд төхөөрөмжид холбох биш. Холболтыг хувийн түлхүүр хаана байгаа нь шийднэ, хуулж болох файлаас TPM хүртэл.
Та зөөврийн компьютер бүрт тусдаа гэрчилгээ олгодог тул VPN тэдгээрийг ялгаж чадна гэж боддог. Чадахгүй. Клиентийн гэрчилгээ нь холбогдож буй хүн тохирох хувийн түлхүүртэй гэдгийг нотолдог бөгөөд хуулсан профайл ч мөн адил түлхүүртэй байдаг.
Төхөөрөмж бүрт гэрчилгээ олгох нь сайн санаа хэвээр байна. Энэ нь олон хүний хүлээж байснаас өөр ажил хийдэг.
Клиентийн гэрчилгээ үнэндээ юу нотолдог вэ
Гар барилцах үед клиент өөрийн гэрчилгээнд тохирох хувийн түлхүүрээр гарын үсэг зурж, сервер тэр гарын үсгийг итгэдэг CA-ийн эсрэг баталгаажуулна. Тэр солилцоонд машиныг тодорхойлсон зүйл байхгүй. Гэрчилгээ болон түлхүүрийг хоёуланг нь эзэмшсэн аливаа төхөөрөмж ижил гарын үсэг үүсгэдэг тул хоёр дахь зөөврийн компьютерт хуулсан профайл эх хувилбартай яг ижил харагдана. Гэрчилгээ нь таних тэмдгийг нэрлэдэг; техник хангамжийг нэрлэдэггүй.
Төхөөрөмж бүрийн өвөрмөц байдал нь хүчингүй болгох үйлдлийг нарийвчлалтай болгодог тул үнэ цэнэтэй хэвээр байна. Энэ нь захиргааны шинж чанар бөгөөд техникийн цоож биш.
Түлхүүр хадгалалтын гурван түвшин
Эхний түвшин нь диск дээрх түлхүүрийн файл юм. Энэ нь зохион бүтээлээрээ зөөврийн бөгөөд ихэнх OpenVPN профайл тэнд байдаг.
Хоёр дахь түвшин нь үйлдлийн систем экспортлох боломжгүй гэж тэмдэглэсэн түлхүүр юм. Windows өөрийн гэрчилгээний санд төхөөрөмжийн түлхүүр үүсгэж, ердийн экспортоос татгалзаж чаддаг нь санамсаргүй хуулбарыг зогсоодог. Энэ нь техник хангамжаар дэмжигдээгүй бөгөөд машин руу хангалттай нэвтрэх боломжтой бол ийм түлхүүрийг сэргээж болох тул хана барихын оронд хүчин чармайлтыг нэмэгдүүлдэг.
Гурав дахь түвшин нь аюулгүй байдлын техник хангамжийн дотор үүсгэсэн түлхүүр юм: TPM, ухаалаг карт, SIM эсвэл PIV токен. Тэдгээр модульд өөрсдийн үүсгэсэн түлхүүрийг экспортлох хэлхээ байхгүй бөгөөд гарын үсэг зурах нь модулийн дотор явагддаг. Түлхүүр нь хэн ч хуулж чадах файл болж хэзээ ч хувирдаггүй.
| Where the key lives | Copyable | What it buys you |
|---|---|---|
| Key file inside the profile | Trivially | Revocation granularity, nothing more |
| OS non-exportable key store | Hard, not impossible | Stops casual profile sharing |
| TPM or PIV token | No | Binding the server can rely on |
Тэр хүснэгт бол гурван мөрөнд багтсан бүх үндэслэл юм.
easy-rsa юу хийж чадах, юу чадахгүй вэ
Төхөөрөмж бүрт гэрчилгээ олгох нь энгийн. Нэг CA-ийн эсрэг төхөөрөмж бүрт тусдаа нийтлэг нэр үүсгээд, жишээ нь ./easyrsa build-client-full laptop-a nopass, төхөөрөмж бүрт давтана. Аль нийтлэг нэр аль хүн, машинд хамаарахыг тэмдэглэ.
Хүчингүй болгох нь мөн адил шууд: ./easyrsa revoke laptop-a, CRL-ийг ./easyrsa gen-crl-оор дахин үүсгээд, сервер үүнийг үнэхээр crl-verify-ээр уншиж байгаа эсэхийг шалга.
CA-ийн хийж чадахгүй зүйл бол хувийн түлхүүр дараа нь хаана байгааг баталгаажуулах юм. Хэрэв түлхүүрийг CA-ийн хост дээр үүсгэж төхөөрөмж рүү хуулбал олгох үед хоёр дахь хуулбар үүсгэсэн байна. Экспортлох боломжгүй түлхүүрийг төхөөрөмж дээр үүсгэх эсвэл түүнийгээ өгөхгүй техник хангамжид оруулах ёстой.
Хуулсан профайлыг даван туулах хяналтууд
Профайлыг хуулж болно гэж үзээд үүнд тохируулан зохион бүтээ. Бүртгэлийг хоёр дахь хүчин зүйлд холбож, зөвхөн гэрчилгээ хүрэлцэхгүй болго. Төхөөрөмж бүрт өөрийн бодлогыг өгч, нэг таних тэмдгийн хүрээ хязгаарлагдмал байлга. Мөн нэг нийтлэг нэр хоёр хаягаас нэгэн зэрэг холбогдож байгаа эсэхийг ажигла, учир нь хуваалцсан профайл холболтын бүртгэлд яг ийм харагддаг.
Хурдан, баримтжуулсан хүчингүй болгох нь хуулбар болсны дараа ч ажилладаг хяналт юм. Бусад бүх зүйл урьдчилан сэргийлэлт.
Серверийн үнэхээр найдаж болох мэдэгдэл
Өвөрмөц байдал CA-аас ирдэг. Төхөөрөмжид холболт түлхүүр хадгалалтаас ирдэг. Зөвхөн өөрийн түлхүүрийг экспортлож чадахгүй техник хангамж л төхөөрөмж бүрийн нэг гэрчилгээг бүгдийн зөвшөөрсөн бодлого биш, серверийн хэрэгжүүлдэг мэдэгдэл болгоно.