Adakah Anda Perlukan Easy-RSA untuk OpenVPN? Ia Bergantung pada Siapa Memiliki CA

Satu tutorial menyuruh memasang Easy-RSA sebelum menyediakan OpenVPN, jadi orang menganggap kedua-duanya satu pakej. Tidak. Easy-RSA ialah utiliti pengurusan PKI yang memacu OpenSSL; OpenVPN ialah terowong. Satu menentukan siapa yang dipercayai, satu lagi memindahkan paket.

Perbandingan yang penting bukanlah alat mana yang lebih baik. Tetapi siapa yang memiliki pengeluar itu dalam organisasi anda.

Apakah Easy-RSA sebenarnya

Projek ini menggambarkan dirinya sebagai utiliti pengurusan PKI X.509, dengan OpenSSL melakukan kerja kriptografi. Ini bermakna ia membungkus penjanaan kunci, permintaan sijil, dasar penandatanganan dan pembatalan ke dalam susun atur direktori yang boleh diulang. Ia tidak menambah lapisan penyulitan pada terowong sedia ada, dan ia tidak menjadikan RSA lebih kuat daripada kunci yang sama yang dihasilkan oleh alat kompeten lain. Apa yang dilakukannya ialah menjadikan aliran kerja boleh diaudit.

Itu manfaat sebenar, tetapi manfaat operasi dan bukan kriptografi.

Ikuti satu komputer riba melalui pendaftaran

Komputer riba baharu menjana kuncinya sendiri dan menyerahkan permintaan sijil, jadi kunci peribadi tidak pernah meninggalkan peranti. Pengeluar kemudian menandatangani permintaan itu dengan jenis yang memilih sambungan yang betul untuk peranan klien. Dalam Easy-RSA itu ialah ./easyrsa sign-req client laptop-a.

Pengendali masih perlu memutuskan bahawa orang ini layak mendapat akses. Tiada alat penandatanganan membuat kesimpulan hak daripada nama biasa.

Sijil yang ditandatangani kembali ke peranti yang memegang kunci yang sepadan, dan penggunaan VPN menyediakan secara berasingan kepercayaan pelayan, semakan identiti, dasar rangkaian dan keperluan akaun. Fail dalam direktori output pengeluar tidak membuktikan apa-apa daripada itu. Hanya jabat tangan yang selesai melakukannya.

Ikuti komputer riba yang sama semasa keluar

Pembuangan ialah tempat pilihan pengeluar benar-benar kelihatan. Aliran kerja yang boleh digunakan mengenal pasti sijil, merekod pembatalan dan menghasilkan apa yang diperlukan oleh sistem yang bergantung untuk menolaknya. Easy-RSA memisahkan ./easyrsa revoke laptop-a daripada ./easyrsa gen-crl, dan langkah kedua itulah yang orang lupa. Menjana CRL pada pengeluar tidak menyampaikannya kepada mana-mana pengesah VPN.

Pengagihan, tingkah laku muat semula dan apa yang berlaku kepada sesi yang telah ditetapkan ialah keputusan penggunaan, bukan ciri alat.

Jurang itu ialah hujah praktikal untuk aliran kerja yang mantap berbanding timbunan arahan openssl ad hoc. Bahagian sukar menjalankan pengeluar bukanlah sijil pertama. Ia ialah memastikan rekod pengeluaran, sandaran, pembaharuan dan pembuangan kekal koheren ketika peranti datang dan pergi.

Apabila pengeluar sudah wujud

Jika organisasi anda sudah menjalankan perkhidmatan sijil yang diluluskan, daftarlah melaluinya. Mendirikan CA kedua kerana tutorial mengandungi arahan Easy-RSA mencipta kerja pengagihan kepercayaan, kerja sandaran dan satu lagi perkara yang perlu dibatalkan dengan betul.

Pengeluar tempatan ialah komitmen untuk menjalankan CA, bukan kotak semak dalam panduan persediaan.

Bilakah Easy-RSA ialah pilihan yang tepat

Untuk penggunaan persendirian kecil yang benar-benar memerlukan pengeluarnya sendiri, Easy-RSA memberikan aliran kerja yang fokus tanpa memasang setiap operasi dengan tangan. panduan asal Easy-RSA merangkumi langkah permintaan, tandatangan, pembatalan dan CRL mengikut urutan. Simpan bahan penandatanganan CA dengan pemilik yang ditetapkan; klien memerlukan kelayakan mereka sendiri dan kepercayaan awam yang berkaitan, tidak pernah salinan kunci penandatanganan.

Reka bentuk OpenVPN berasaskan PIN ialah susunan kepercayaan sah yang lain, bukan PKI rosak yang menunggu pembaikan. Dan log masuk akaun tidak menghapuskan keperluan untuk mengesahkan pelayan di bawah mana-mana protokol yang anda pilih.

Jawab empat soalan sebelum memilih: siapa yang meluluskan identiti baharu, di mana kunci peribadinya tinggal, bagaimana sijil sampai kepada klien dan bagaimana identiti yang bersara berhenti diterima.