OpenVPN पीअर्ससाठी तुमचे विद्यमान एंटरप्राइझ CA वापरा

OpenVPN मध्ये काहीही प्रमाणपत्र Easy-RSA कडून यावे असे बंधन घालत नाही, आणि ज्या फ्लीटकडे आधीच संस्थात्मक PKI आहे तिने सामान्यतः दुसरे बांधू नये। खरे काम साधन निवडणे नाही, तर जारी केलेल्या ओळखींचा अर्थ काय, टनेल कोणत्या पीअर्सना स्वीकारते आणि नूतनीकरण व रद्दीकरण पडताळणीकर्त्यापर्यंत कसे पोहोचते हे ठरवणे। खालील पाच पायऱ्या क्रमाने पूर्ण करा, कारण नंतरची पायरी पहिल्यात घेतलेला भूमिका-निर्णय दुरुस्त करू शकत नाही।

एका सामाईक ओळखीऐवजी दोन भूमिका जारी करा

प्रत्येक पीअरला स्वतःचे प्रमाणपत्र आणि त्याशी जुळणारी खाजगी की हवी। PKI टीमला सर्व्हर-वापर असलेली सर्व्हर ओळख आणि क्लायंट-वापर असलेल्या वेगळ्या क्लायंट ओळखी मागा, जेणेकरून टनेल हँडशेकच्या वेळी दोन्ही वेगळे ओळखू शकेल।

मुदतीच्या दबावाखाली दिसणाऱ्या शॉर्टकटना तोंड द्या। वेब सर्व्हरची की लॅपटॉपवर कॉपी केल्याने भूमिका-तपासणी ज्या फरकावर अवलंबून आहे तो पुसला जातो, आणि VPN एंडपॉइंटवर स्थापित केलेली CA स्वाक्षरी की एका तडजोड झालेल्या होस्टला तडजोड झालेल्या क्रमवारीत बदलते। PKCS12 बंडल एंडपॉइंट की आणि तिची साखळी वाहू शकते, पण ती ओळख दुसऱ्या भूमिकेत पुन्हा वापरण्याची परवानगी कधीही देत नाही।

प्रत्येक बाजूला विश्वास-इनपुट जोडा

क्लायंट आणि सर्व्हर दोघांनाही अनुक्रमे विश्वास-अँकर, स्वतःची ओळख आणि स्पष्ट भूमिका-अपेक्षा हवी। तीनही नमूद करणारा क्लायंट तुकडा असा दिसतो।

client
ca /etc/openvpn/pki/issuing-root.pem
cert /etc/openvpn/pki/device-17.crt
key /etc/openvpn/pki/device-17.key
remote-cert-tls server
verify-x509-name vpn.corp.example name
crl-verify /etc/openvpn/pki/issuing.crl

सर्व्हर बाजू remote-cert-tls client आणि स्वतःच्या प्रमाणपत्रासह त्याचे प्रतिबिंब करते, आणि हेच क्लायंट प्रमाणपत्र सर्व्हर म्हणून स्वीकारले जाण्यापासून रोखते। नाव-तपासणी भूमिका-तपासणीपासून वेगळा निर्णय आहे। ब्राउझर-शैलीचे होस्टनेम जुळणी गृहीत धरण्याऐवजी कोणते फील्ड तुलनेत येते हे पाहण्यासाठी तैनात केलेले कॉन्फिगरेशन वाचा। दोन्ही बाजूंनी ते कोणत्या जारीकर्त्यावर विश्वास ठेवतात हेही स्पष्ट सांगावे, कारण संपूर्ण फ्लीटमध्ये सामाईक फाइल पथ सामाईक धोरणासारखा नसतो।

विश्वास न वाढवता मध्यस्थ प्रमाणपत्रे पोहोचवा

दोन्ही बाजूंना एकच जारी-साखळी सामायिक करण्याची गरज नाही। जेव्हा पीअर मध्यस्थाने स्वाक्षरी केलेले प्रमाणपत्र सादर करते, तेव्हा पडताळणी करणाऱ्या बाजूला तो मध्यस्थ उपलब्ध हवा, आणि OpenVPN विश्वास-अँकर इनपुटला स्थानिक पातळीवर सादर केलेली साखळी पूर्ण करण्यासाठी वापरल्या जाणाऱ्या अतिरिक्त प्रमाणपत्रांपासून वेगळे करते। OpenVPN 2.6 TLS पर्याय संदर्भ दोन्हीचे दस्तऐवजीकरण करतो।

मध्यस्थ CA स्वतःच समस्या नाही, पण विश्वास-बंडलमध्ये टाकलेले रुंद एंटरप्राइझ रूट समस्या आहे। अँकर जितका रुंद, तितकी जास्त प्रमाणपत्रे साखळी चाचणी उत्तीर्ण होतात, आणि भूमिका-तपासणी त्याची अधिकृत कर्मचाऱ्यांची यादी करत नाही। क्रमवारी परवानगी देते तिथे अँकरला प्रत्यक्षात VPN ओळखींवर स्वाक्षरी करणाऱ्या जारीकर्त्यापर्यंत संकुचित करा। जर परवानगी देत नसेल, तर रुंद अँकर गुप्त ठेवण्याऐवजी जाणीवपूर्वक स्वीकारलेला धोका म्हणून दस्तऐवजीकृत करा।

नूतनीकरण आणि रद्दीकरण VPN पडताळणीकर्त्यांपर्यंत कसे पोहोचते, कोणते जारीकर्ते महत्त्वाचे आहेत आणि यादी कोण प्रकाशित करते यासह PKI टीमशी सहमती द्या। प्रमाणपत्रात अंतर्भूत CRL वितरण बिंदू ही सूचना आहे, कोणीतरी तो आणला याचा पुरावा नाही।

रद्दीकरण प्रत्यक्षात कसे येते ते ठरवा

crl-verify पडताळणीकर्त्याला फाइल किंवा एंडपॉइंटचा सल्ला घ्यायला लावते, आणि या व्यवस्थेला मालक आणि रिफ्रेश मार्ग हवा। तैनातीच्या वेळी एकदा कॉपी केलेली यादी प्रमाणपत्र प्रथमच रद्द झाल्यावर शांतपणे तुमचे संरक्षण करणे थांबवते।

अपेक्षित प्रसार वेळ लिहा आणि रद्द करण्यास तयार असलेल्या प्रमाणपत्रासह तो तपासा। VPN होस्टवर यादी रिफ्रेश करता येत नसेल, तर पर्याय म्हणजे लहान वैधता कालावधी आणि प्रत्यक्षात चालणारी नूतनीकरण प्रक्रिया, URL आहे म्हणून रद्दीकरण चालते हे गृहीत नाही।

खऱ्या क्लायंटसह स्वीकृती सिद्ध करा

ज्याला परवानगी असावी अशा क्लायंटला जोडा आणि लॉगमध्ये वाटाघाटी केलेल्या प्रमाणपत्राचे तपशील पुष्टी करा। नंतर जे प्रकरण अपयशी व्हायला हवे ते करून पाहा: सर्व्हर म्हणून सादर केलेले क्लायंट प्रमाणपत्र, विश्वास-अँकरबाहेरच्या जारीकर्त्याचे प्रमाणपत्र, आणि जास्त असल्यास रद्द केलेले प्रमाणपत्र।

स्वीकारलेला जारीकर्ता, भूमिका-तपासणी आणि रद्दीकरणाचा स्रोत प्रोफाइलजवळ नोंदवा। तीच नोंद गेल्या महिन्यात काम करणारे उपकरण जोडणे थांबवल्यावर पुढील अभियंत्याला लागते, आणि एंटरप्राइझ CA सामान्य-उद्देशीय विश्वास-डंप म्हणून नव्हे तर दस्तऐवजीकृत स्वीकृती-मर्यादेत वापरला जातो याचा पुरावाही आहे।