Menambah klien VPN tanpa membina semula CA

Anda perlukan satu lagi sijil untuk satu lagi komputer riba, tetapi tutorial pertama dalam hasil carian bermula dengan arahan yang memadam direktori PKI. Arahan itu milik persediaan awal, bukan pendaftaran, dan menjalankannya merugikan anda CA, sejarah pengeluaran serta setiap profil klien yang mempercayai pengeluar lama. Keputusannya lebih sempit: adakah pengeluar anda masih mempunyai keadaan yang boleh digunakan, dan adakah peranti baharu sesuai dengan dasar pendaftaran anda? Tiga syarat menentukannya, hanya satu membenarkan pembinaan semula.

Apa yang sebenarnya dimusnahkan oleh pembinaan semula

Memulakan semula PKI menggantikan direktori dengan struktur kosong: kunci dan sijil CA baharu, pangkalan data pengeluaran kosong, pengira seri baharu. Klien tidak mengikut sendiri; profil mereka menyematkan CA lama, jadi setiap peranti mesti mendaftar semula, dan yang tidak dapat dicapai secara manual.

Kerugian yang lebih senyap ialah perakaunan. Pembatalan bergantung pada mengetahui nombor seri mana yang anda keluarkan dan kepada siapa. Padam indeks dan anda masih boleh menandatangani, tetapi tidak boleh memastikan sijil mana yang anda mahu batalkan. Direktori CA dengan sijil tanpa status pengeluar yang sepadan ialah sandaran yang memulihkan separuh sistem yang salah.

Menyalin kunci peribadi CA di sebelah pelayan yang berjalan ialah jalan pintas lain yang patut ditolak: ia menjadikan pihak berkuasa tandatangan yang sepatutnya di luar talian sebagai fail lain pada hos dengan trafik tidak dipercayai.

Syarat pertama: adakah status pengeluar masih boleh dicapai?

Cari direktori yang benar-benar dipercayai oleh pelayan sebelum membuat keputusan. Bandingkan sijil yang dikemukakan pelayan sebagai CA dengan yang ada dalam direktori PKI melalui cap jari, bukan nama fail:

openssl x509 -in ca.crt -noout -fingerprint -sha256
openssl x509 -in /etc/openvpn/ca.crt -noout -fingerprint -sha256

Jika cap jari sepadan, pendaftaran adalah tambahan dan anda tidak perlu membina semula apa-apa. Jika berbeza, anda menandatangani dengan CA yang tidak dipercayai pelayan: sijil dipasang bersih tetapi gagal semasa jabat tangan, dan kesilapan itu salah didiagnosis sebagai pepijat klien berjam-jam lamanya.

Kemudian cari status pengeluaran: fail indeks, pengira seri dan fail nombor CRL. Jika indeks hilang tetapi kunci masih ada, anda boleh mengeluarkan, tetapi mewarisi masalah merekod pembatalan. Catatkan dalam log perubahan, kerana permintaan pembatalan seterusnya akan mendedahkannya.

Syarat kedua: siapa memegang kunci peribadi baharu?

Ini keputusan yang dirasai pengguna, jadi putuskan secara jelas. Kunci yang dijana klien dan dihantar sebagai permintaan menyimpan separuh peribadi pada peranti sejak arahan pertama, dan pentadbir tidak pernah menyentuhnya. Kunci yang dijana pelayan lebih mudah bagi peranti tanpa alat, tetapi menjadikan pentadbir penjaga setiap kunci dan meluaskan kesan kompromi pelayan.

Dengan Easy-RSA 3 terhadap CA sedia ada, mengimport dan menandatangani permintaan ialah dua arahan:

./easyrsa import-req /tmp/alice.req alice
./easyrsa sign-req client alice

Pilih jenis sijil dengan sengaja. Permintaan yang ditandatangani sebagai sijil pelayan dan bukan klien menghasilkan fail yang kelihatan betul tetapi ditolak rakan, dan mesej ralat jarang menyatakan sebabnya. Dengan openssl ca, pilihan yang sama ada dalam sambungan yang anda berikan, bukan dalam bahagian lalai.

Syarat ketiga: perlukah pelayan lebih daripada sijil?

Bagi OpenVPN biasa dengan pengesahan sijil, sijil itulah pendaftaran: nama umum menjadi identiti klien, dan mana-mana direktori, laluan yang ditolak atau alamat statik bergantung pada nama itu. Tambah sijil dan lupa konfigurasi, terowong bersambung tetapi laluan yang diperlukan tidak muncul.

Platform mengubah ini. OpenVPN Access Server menyimpan pangkalan penggunanya sendiri, jadi sijil bertandatangan bukan akaun; akaun mesti wujud dan dibenarkan. Gateway lain memetakan rentetan identiti kepada kumpulan. Mendaftar satu peranti biasanya menyentuh dua sistem, dan sijil hanya yang pertama.

Prosedur tambahan dan bila pembinaan semula betul

Urutan yang menambah satu peranti tanpa kerosakan: sahkan pengeluar melalui cap jari, ambil sandaran baharu direktori PKI, import dan tandatangani permintaan untuk peranan klien, serahkan sijil dengan rantaiannya melalui saluran yang diluluskan, kemudian sahkan sebelum pengguna bersambung:

openssl verify -CAfile ca.crt alice.crt
openssl x509 -in alice.crt -noout -subject -issuer -dates -purpose

Baris tujuan harus memaparkan SSL client. Akhiri dengan mengemas kini sandaran CA selepas pengeluaran, kerana sandaran yang diambil sebelum nombor seri baharu direkodkan memulihkan keadaan tanpa peranti yang baru anda tambah.

Pembinaan semula betul dalam tiga keadaan: kunci CA dikompromi, status pengeluaran hilang tanpa harapan, atau anda sengaja menukar algoritma kunci atau dasar sijil. Ketiganya projek dengan pelan pendaftaran semula bagi setiap klien, bukan langkah dalam permintaan satu peranti. Jika tiada yang terpakai, daftar secara tambahan.