CA पुन्हा न बांधता VPN क्लायंट जोडणे

अजून एका लॅपटॉपसाठी अजून एक प्रमाणपत्र लागते, पण शोध निकालांतील पहिले प्रशिक्षण PKI डिरेक्टरी पुसणाऱ्या आदेशाने सुरू होते. तो आदेश पहिल्या सेटअपचा आहे, नोंदणीचा नाही, आणि तो चालवल्यास CA, जारी अभिलेख आणि जुन्या जारीकर्त्यावर विश्वास ठेवणारे प्रत्येक क्लायंट प्रोफाइल जाते. निर्णय अरुंद आहे: जारीकर्त्याकडे अजून वापरण्यायोग्य स्थिती आहे का, आणि नवीन उपकरण तुमच्या नोंदणी धोरणात बसते का? तीन अटी ते ठरवतात, आणि फक्त एकच पुनर्बांधणीचे समर्थन करते.

पुनर्बांधणी प्रत्यक्षात काय नष्ट करते

PKI पुन्हा सुरू केल्यास डिरेक्टरी रिकाम्या रचनेने बदलली जाते: नवीन CA की आणि प्रमाणपत्र, रिकामा जारी डेटाबेस आणि नवीन क्रमांक काउंटर. क्लायंट स्वतःहून पुढे जात नाहीत; त्यांची प्रोफाइल जुन्या CA ला पिन करतात, म्हणून प्रत्येक उपकरण पुन्हा नोंदवावे लागते, आणि ज्यांच्यापर्यंत पोहोचता येत नाही ते हाताने.

अधिक शांत नुकसान म्हणजे हिशोब. रद्द करणे हे कोणते क्रमांक कोणाला दिले हे माहीत असण्यावर अवलंबून आहे. अनुक्रमणिका पुसली तरी सही करता येते, पण उर्वरित प्रमाणपत्रांपैकी कोणते रद्द करायचे होते हे खात्रीने सांगता येत नाही. जारीकर्त्याच्या स्थितीशिवाय प्रमाणपत्रे असलेली CA डिरेक्टरी ही प्रणालीचा चुकीचा अर्धा भाग पुनर्संचयित करणारी बॅकअप आहे.

CA ची खाजगी की चालू सर्व्हरच्या शेजारी कॉपी करणे हा नाकारावा अशी दुसरी सोयीची वाट आहे: ऑफलाइन असाव्या लागणाऱ्या सही अधिकाराला अविश्वासार्ह रहदारी असलेल्या होस्टवरील अजून एक फाइल बनवते.

पहिली अट: जारीकर्त्याची स्थिती अजून उपलब्ध आहे का

ठरवण्यापूर्वी सर्व्हर खरोखर विश्वास ठेवतो ती डिरेक्टरी शोधा. सर्व्हर CA म्हणून दाखवतो ते प्रमाणपत्र PKI डिरेक्टरीतील प्रमाणपत्राशी बोटांच्या ठशाने तुलना करा, फाइल नावाने नाही:

openssl x509 -in ca.crt -noout -fingerprint -sha256
openssl x509 -in /etc/openvpn/ca.crt -noout -fingerprint -sha256

ठसे जुळल्यास नोंदणी वाढीव आहे आणि काहीही पुन्हा बांधू नका. वेगळे असल्यास सर्व्हर विश्वास ठेवत नाही अशा CA ने सही करता: प्रमाणपत्र स्वच्छ बसते पण हात मिळवणीत अयशस्वी होते, आणि ती चूक तासनतास क्लायंट बग म्हणून चुकीचे निदान केली जाते.

नंतर जारी स्थिती शोधा: अनुक्रमणिका फाइल, क्रम काउंटर आणि CRL क्रमांक फाइल. अनुक्रमणिका नसली तरी की असेल तर जारी करता येते, पण रद्दीकरणाची नोंद करण्याची अडचण वारसा मिळते. ती बदल नोंदीत लिहा, कारण पुढील रद्दीकरण विनंती ती उघड करेल.

दुसरी अट: नवीन खाजगी की कोणाकडे आहे

हा वापरकर्त्यांना जाणवणारा निर्णय आहे, म्हणून स्पष्टपणे घ्या. क्लायंटने तयार करून विनंती म्हणून पाठवलेली की खाजगी अर्धा भाग पहिल्या आदेशापासून उपकरणावर ठेवते आणि प्रशासक त्याला कधीही हात लावत नाही. सर्व्हरने तयार केलेली की साधनांशिवाय उपकरणांसाठी सोपी आहे, पण प्रशासकाला प्रत्येक कीचा रक्षक बनवते आणि सर्व्हर भंगाचा परिणाम वाढवते.

विद्यमान CA विरुद्ध Easy-RSA 3 सह विनंती आयात करणे आणि सही करणे हे दोन आदेश आहेत:

./easyrsa import-req /tmp/alice.req alice
./easyrsa sign-req client alice

प्रमाणपत्राचा प्रकार जाणीवपूर्वक निवडा. क्लायंटऐवजी सर्व्हर प्रमाणपत्र म्हणून सही केलेली विनंती चांगली दिसणारी पण समकक्षाकडून नाकारली जाणारी फाइल देते, आणि त्रुटी संदेश कारण सांगत नाही. openssl ca ने सही केल्यास तीच निवड तुम्ही देत असलेल्या विस्तारांमध्ये असते, डीफॉल्ट विभागात नाही.

तिसरी अट: सर्व्हरला प्रमाणपत्रापेक्षा जास्त हवे आहे का

प्रमाणपत्र प्रमाणीकरण असलेल्या सामान्य OpenVPN सर्व्हरसाठी प्रमाणपत्रच नोंदणी आहे: सामान्य नाव क्लायंटची ओळख बनते, आणि कोणतीही डिरेक्टरी, ढकललेला मार्ग किंवा स्थिर पत्ता त्या नावावर अवलंबून असतो. प्रमाणपत्र जोडून संरचना विसरल्यास बोगदा जोडतो पण आवश्यक मार्ग दिसत नाहीत.

मंच हे बदलतात. OpenVPN Access Server स्वतःचा वापरकर्ता डेटाबेस ठेवतो, म्हणून सही केलेले प्रमाणपत्र खाते नाही; खाते असलेच पाहिजे आणि अनुमत असलेच पाहिजे. इतर गेटवे ओळखश्रेणी गटाशी जोडतात. एका उपकरणाची नोंदणी सहसा दोन प्रणालींना स्पर्श करते, आणि प्रमाणपत्र फक्त पहिले.

वाढीव प्रक्रिया आणि पुनर्बांधणी कधी योग्य

हानीशिवाय एक उपकरण जोडण्याचा क्रम: ठशाने जारीकर्ता खात्री करा, PKI डिरेक्टरीची ताजी बॅकअप घ्या, क्लायंट भूमिकेसाठी विनंती आयात करून सही करा, मंजूर मार्गाने प्रमाणपत्र साखळीसह द्या, आणि वापरकर्ता जोडण्यापूर्वी पडताळा:

openssl verify -CAfile ca.crt alice.crt
openssl x509 -in alice.crt -noout -subject -issuer -dates -purpose

उद्देश ओळीत SSL client दिसावे. जारीनंतर CA बॅकअप अद्ययावत करून संपवा, कारण नवीन क्रमांक नोंदवण्यापूर्वी घेतलेली बॅकअप नुकतेच जोडलेल्या उपकरणाशिवाय स्थिती परत आणते.

पुनर्बांधणी तीन प्रसंगी योग्य: CA की भंगली, जारी स्थिती परत मिळणार नाही अशी गेली, किंवा तुम्ही जाणीवपूर्वक की अल्गोरिदम किंवा प्रमाणपत्र धोरण बदलत आहात. तिन्ही प्रकल्प आहेत ज्यांना प्रत्येक क्लायंटची पुनर्नोंदणी योजना लागते, एका उपकरणाच्या विनंतीतील टप्पे नाहीत. काहीही लागू नसेल तर वाढीव नोंदणी करा.