OpenVPN хамтрагчдад зориулж одоо байгаа аж ахуйн нэгжийн CA-г ашиглана уу

OpenVPN-д юу ч сертификат Easy-RSA-аас ирэхийг шаарддаггүй бөгөөд байгууллагын PKI-тай флот ердийн үед хоёр дахьыг барих ёсгүй. Жинхэнэ ажил нь багаж сонгох биш, харин олгосон таних тэмдгүүд юу гэсэн үг вэ, туннель аль хамтрагчдыг хүлээн авах вэ, шинэчлэл болон хүчингүй болгох нь баталгаажуулагчид хэрхэн хүрэх вэ гэдгийг шийдэх юм. Доорх таван алхмыг дарааллаар нь гүйцэтгээрэй, учир нь дараагийн алхам нь эхний алхамд гаргасан үүргийн шийдвэрийг засахгүй.

Нэг хуваалцсан таних тэмдгийн оронд хоёр үүрэг олгоорой

Хамтрагч бүрт өөрийн сертификат болон тохирох хувийн түлхүүр хэрэгтэй. PKI багаас серверийн хэрэглээтэй серверийн таних тэмдэг болон харилцагчийн хэрэглээтэй тусдаа харилцагчийн таних тэмдгүүдийг хүсээрэй, ингэснээр туннель гарын барилдлагын үед хоёрыг ялгаж чадна.

Хугацааны дарамтанд гарч ирдэг товч замаас татгалзаарай. Веб серверийн түлхүүрийг зөөврийн компьютерт хуулах нь үүргийн шалгалт тулгуурладаг ялгааг устгадаг бөгөөд VPN-ийн төгсгөлийн цэгт суулгасан CA гарын үсгийн түлхүүр нэг эвдэрсэн хосттыг эвдэрсэн шатлал болгоно. PKCS12 багц нь төгсгөлийн цэгийн түлхүүр болон түүний гинжийг зөөж чадах боловч тэр таних тэмдгийг өөр үүрэгт дахин ашиглах зөвшөөрөл хэзээ ч өгдөггүй.

Хоёр талд итгэлцлийн орцуудыг холбоорой

Харилцагч болон сервер тус бүрд итгэлцлийн зангуу, өөрийн таних тэмдэг, тодорхой үүргийн хүлээлт хэрэгтэй. Гурвыг нь дурдсан харилцагчийн хэсэг иймэрхүү харагдана.

client
ca /etc/openvpn/pki/issuing-root.pem
cert /etc/openvpn/pki/device-17.crt
key /etc/openvpn/pki/device-17.key
remote-cert-tls server
verify-x509-name vpn.corp.example name
crl-verify /etc/openvpn/pki/issuing.crl

Серверийн тал үүнийг remote-cert-tls client болон өөрийн сертификатаар тусгадаг бөгөөд энэ нь харилцагчийн сертификатыг сервер гэж хүлээн авахаас сэргийлдэг. Нэрийн шалгалт нь үүргийн шалгалтаас тусдаа шийдвэр юм. Браузерын хэв маягийн хост нэрийн тохирлыг таамаглахын оронд аль талбарыг харьцуулж байгааг харахын тулд байршуулсан тохиргоог уншина уу. Хоёр тал аль олгогчид итгэдэгээ тодорхой хэлэх ёстой, учир нь флот даяар хуваалцсан файлын зам нь хуваалцсан бодлоготой ижил зүйл биш.

Итгэлцлийг өргөтгөхгүйгээр завсрын сертификатуудыг хүргээрэй

Хоёр тал нэг олголтын гинжийг хуваалцах шаардлагагүй. Хамтрагч завсрын сертификатаар гарын үсэг зурсан сертификатыг танилцуулах үед баталгаажуулах талд тэр завсрын сертификат бэлэн байх шаардлагатай бөгөөд OpenVPN нь итгэлцлийн зангууны орцыг орон нутагт танилцуулсан гинжийг гүйцээхэд ашигладаг нэмэлт сертификатуудаас ялгадаг. OpenVPN 2.6-ийн TLS сонголтын лавлагаа хоёуланг нь баримтжуулдаг.

Завсрын CA нь өөрөө асуудал биш, гэхдээ итгэлцлийн багцад хаясан өргөн аж ахуйн нэгжийн үндэс нь асуудал юм. Зангуу нь өргөн байх тусам гинжийн шалгалтыг илүү олон сертификат давдаг бөгөөд үүргийн шалгалт үүнийг эрх бүхий ажилтнуудын жагсаалт болгодоггүй. Шатлал зөвшөөрсөн газар зангууг VPN таних тэмдгүүдэд үнэхээр гарын үсэг зурдаг олгогч хүртэл нарийсгаарай. Хэрэв зөвшөөрөхгүй бол өргөн зангууг далд үлдээхийн оронд санаатайгаар хүлээн зөвшөөрсөн эрсдэл гэж баримтжуулаарай.

Шинэчлэл болон хүчингүй болгох нь VPN баталгаажуулагчдад хэрхэн хүрэх, аль олгогчид чухал, жагсаалтыг хэн нийтэлдэг зэрэг асуудлаар PKI багтай тохиролцоорой. Сертификатад суулгасан CRL түгээх цэг нь заавар бөгөөд хэн нэгэн түүнийг татсан гэсэн нотолгоо биш.

Хүчингүй болгох нь үнэндээ хэрхэн ирдэг вэ гэдгийг шийдээрэй

crl-verify нь баталгаажуулагчийг файл эсвэл төгсгөлийн цэгт хандахад хүргэдэг бөгөөд энэ зохицуулалтад эзэмшигч болон шинэчлэх зам хэрэгтэй. Байршуулалтын үеэр нэг удаа хуулагдсан жагсаалт сертификатыг анх хүчингүй болгоход чимээгүйхэн таныг хамгаалахаа болино.

Хүлээгдэж буй тархалтын хугацааг бичээд, хүчингүй болгоход бэлэн сертификатаар туршаарай. Хэрэв жагсаалтыг VPN хост дээр шинэчилж чадахгүй бол өөр хувилбар нь богино хүчинтэй хугацаа болон үнэхээр ажилладаг шинэчлэлийн процесс бөгөөд URL байгаа тул хүчингүй болгох ажилладаг гэсэн таамаг биш.

Бодит харилцагчаар хүлээн авалтыг нотлоорой

Зөвшөөрөгдөх ёстой харилцагчийг холбож, бүртгэлд тохиролцсон сертификатын дэлгэрэнгүй мэдээллийг баталгаажуулаарай. Дараа нь бүтэлгүйтэх ёстой тохиолдлуудыг туршаарай: сервер гэж танилцуулсан харилцагчийн сертификат, итгэлцлийн зангуунаас гадуурх олгогчийн сертификат, илүүдэл байвал хүчингүй болгосон сертификат.

Хүлээн авсан олгогч, үүргийн шалгалт, хүчингүй болгох эх сурвалжийг профайлын хажууд бүртгээрэй. Тэр бүртгэл нь өнгөрсөн сард ажиллаж байсан төхөөрөмж холбогдохоо болиход дараагийн инженерд хэрэгтэй зүйл бөгөөд аж ахуйн нэгжийн CA-г ерөнхий зориулалтын итгэлцлийн хогийн цэг биш, баримтжуулсан хүлээн авах хязгаарын дотор ашиглаж байгаагийн нотолгоо мөн.