OpenVPN साठी तुम्हाला Easy-RSA हवे आहे का? ते CA कोणाकडे आहे यावर अवलंबून आहे

एक ट्युटोरियल OpenVPN सेट करण्यापूर्वी Easy-RSA इन्स्टॉल करा असे सांगते, म्हणून लोकांना वाटते की दोन्ही एकच पॅकेज आहेत। तसे नाही। Easy-RSA ही OpenSSL चालवणारी PKI व्यवस्थापन साधन आहे; OpenVPN हा बोगदा आहे। एक कोणावर विश्वास ठेवायचा हे ठरवते, दुसरे पॅकेट हलवते।

महत्त्वाची तुलना कोणते साधन चांगले आहे ही नाही। तर तुमच्या संस्थेत जारीकर्ता कोणाकडे आहे ही आहे।

Easy-RSA प्रत्यक्षात काय आहे

हा प्रकल्प स्वतःला X.509 PKI व्यवस्थापन साधन म्हणवतो, ज्यात क्रिप्टोग्राफिक काम OpenSSL करते। याचा अर्थ तो किल्ली निर्मिती, प्रमाणपत्र विनंत्या, स्वाक्षरी धोरण आणि रद्दीकरण पुनरावृत्तीयोग्य डिरेक्टरी रचनेत गुंडाळतो। तो आधीच्या बोगद्याला एन्क्रिप्शनचा थर जोडत नाही आणि दुसऱ्या सक्षम साधनाने तयार केलेल्या त्याच किल्लीपेक्षा RSA मजबूत करत नाही। तो जे करतो ते म्हणजे कार्यप्रवाह तपासण्यायोग्य करणे।

हा खरा फायदा आहे, पण क्रिप्टोग्राफिक नाही, कार्यचालनाचा फायदा आहे।

एक लॅपटॉप नोंदणीतून पुढे पाहा

नवा लॅपटॉप स्वतःची किल्ली तयार करतो आणि प्रमाणपत्र विनंती सादर करतो, म्हणून खाजगी किल्ली कधीही उपकरण सोडत नाही। नंतर जारीकर्ता त्या विनंतीवर क्लायंट भूमिकेसाठी योग्य विस्तार निवडणाऱ्या प्रकाराने स्वाक्षरी करतो। Easy-RSA मध्ये ते हे आहे: ./easyrsa sign-req client laptop-a।

ती व्यक्ती प्रवेशास पात्र आहे हे ऑपरेटरला अजूनही ठरवावे लागते। कोणतेही स्वाक्षरी साधन सामान्य नावावरून हक्क काढत नाही।

स्वाक्षरी केलेले प्रमाणपत्र परत जुळणारी किल्ली असलेल्या उपकरणाकडे जाते, आणि VPN उपयोजन स्वतंत्रपणे सर्व्हर विश्वास, ओळख तपासणी, नेटवर्क धोरण आणि खाते आवश्यकता पुरवते। जारीकर्त्याच्या आउटपुट डिरेक्टरीतील फाइल यापैकी काहीही सिद्ध करत नाही। फक्त पूर्ण झालेला हँडशेक ते करतो।

तोच लॅपटॉप बाहेर पडताना पाहा

जारीकर्त्याची निवड खरोखर दिसते ती काढण्यात। उपयुक्त कार्यप्रवाह प्रमाणपत्र ओळखतो, रद्दीकरण नोंदवतो आणि त्यावर विसंबलेल्या प्रणालींना ते नाकारण्यासाठी लागणारे तयार करतो। Easy-RSA ./easyrsa revoke laptop-a आणि ./easyrsa gen-crl वेगळे करतो, आणि दुसरे पाऊल हेच लोक विसरतात। जारीकर्त्यावर CRL तयार केल्याने ते कोणत्याही VPN पडताळणीकर्त्यापर्यंत पोहोचत नाही।

वितरण, पुन्हा लोड करण्याचे वर्तन आणि आधीच प्रस्थापित सत्रांना काय होते हे उपयोजनाचे निर्णय आहेत, साधनाची वैशिष्ट्ये नाहीत।

ही तफावत प्रस्थापित कार्यप्रवाहाच्या बाजूने व्यावहारिक युक्तिवाद आहे, विखुरलेल्या openssl आदेशांच्या राशीविरुद्ध। जारीकर्ता चालवण्याचा कठीण भाग पहिले प्रमाणपत्र नाही। उपकरणे ये-जा करत असताना जारी नोंदी, बॅकअप, नूतनीकरण आणि काढणी सुसंगत ठेवणे हा आहे।

जेव्हा जारीकर्ता आधीच अस्तित्वात आहे

तुमची संस्था आधीच मंजूर प्रमाणपत्र सेवा चालवत असेल, तर तिच्यामार्फत नोंदणी करा। ट्युटोरियलमध्ये Easy-RSA आदेश होते म्हणून दुसरे CA उभे करणे विश्वास वितरणाचे काम, बॅकअपचे काम आणि योग्यरित्या रद्द करावयाची दुसरी गोष्ट निर्माण करते।

स्थानिक जारीकर्ता म्हणजे CA चालवण्याची बांधिलकी, सेटअप मार्गदर्शकातील चेकबॉक्स नाही।

जेव्हा Easy-RSA योग्य निर्णय आहे

खरोखर स्वतःचे जारीकर्ता आवश्यक असलेल्या लहान खाजगी उपयोजनासाठी, प्रत्येक क्रिया हाताने जुळवून न घेता Easy-RSA केंद्रित कार्यप्रवाह देते। मूळ Easy-RSA मार्गदर्शक विनंती, स्वाक्षरी, रद्दीकरण आणि CRL टप्पे क्रमाने समाविष्ट करते। CA ची स्वाक्षरी सामग्री तिच्या नियुक्त मालकाकडे ठेवा; क्लायंटना स्वतःची ओळखपत्रे आणि संबंधित सार्वजनिक विश्वास हवा, स्वाक्षरी किल्लीची प्रत कधीही नाही।

PIN आधारित OpenVPN रचना ही दुसरी कायदेशीर विश्वास व्यवस्था आहे, दुरुस्तीची वाट पाहणारी तुटलेली PKI नाही। आणि खाते लॉगिन तुम्ही निवडलेल्या कोणत्याही प्रोटोकॉल अंतर्गत सर्व्हर प्रमाणित करण्याची गरज दूर करत नाही।

निवडण्यापूर्वी चार प्रश्नांची उत्तरे द्या: नवी ओळख कोण मंजूर करते, तिची खाजगी किल्ली कुठे राहते, प्रमाणपत्र क्लायंटपर्यंत कसे पोहोचते आणि निवृत्त ओळख कशी स्वीकारार्ह राहत नाही।