Gunakan CA perusahaan anda yang sedia ada untuk rakan OpenVPN

Tiada apa-apa dalam OpenVPN yang mewajibkan sijil datang daripada Easy-RSA, dan armada yang sudah mempunyai PKI organisasi biasanya tidak perlu membina yang kedua. Kerja sebenar bukan memilih alat, tetapi memutuskan apa maksud identiti yang dikeluarkan, rakan mana yang diterima terowong, dan bagaimana pembaharuan serta pembatalan sampai kepada pengesah. Lalui lima langkah di bawah ini mengikut urutan, kerana langkah kemudian tidak dapat membaiki keputusan peranan yang dibuat pada langkah pertama.

Keluarkan dua peranan dan bukan satu identiti bersama

Setiap rakan memerlukan sijil sendiri dan kunci peribadi yang sepadan. Minta pasukan PKI menyediakan identiti pelayan dengan penggunaan pelayan dan identiti klien berasingan dengan penggunaan klien, supaya terowong dapat membezakan keduanya semasa jabat tangan.

Tentang jalan pintas yang muncul di bawah tekanan tarikh akhir. Kunci pelayan web yang disalin ke komputer riba memadam perbezaan yang menjadi asas pemeriksaan peranan, dan kunci tandatangan CA yang dipasang pada titik akhir VPN menjadikan satu hos yang terjejas sebagai hierarki yang terjejas. Bungkusan PKCS12 boleh membawa kunci titik akhir dan rantaiannya, tetapi ia tidak pernah memberi kebenaran untuk menggunakan semula identiti itu dalam peranan lain.

Sambungkan input kepercayaan pada setiap sisi

Klien dan pelayan masing-masing memerlukan sauh kepercayaan, identiti sendiri dan jangkaan peranan yang jelas. Serpihan klien yang menyatakan ketiga-tiganya kelihatan seperti ini.

client
ca /etc/openvpn/pki/issuing-root.pem
cert /etc/openvpn/pki/device-17.crt
key /etc/openvpn/pki/device-17.key
remote-cert-tls server
verify-x509-name vpn.corp.example name
crl-verify /etc/openvpn/pki/issuing.crl

Sisi pelayan mencerminkannya dengan remote-cert-tls client dan sijilnya sendiri, dan itulah yang menghalang sijil klien daripada diterima sebagai pelayan. Pemeriksaan nama ialah keputusan berasingan daripada pemeriksaan peranan. Baca konfigurasi yang digunakan untuk melihat medan mana yang dibandingkan dan bukan menganggap padanan nama hos gaya pelayar. Kedua-dua pihak juga harus menyatakan dengan jelas pengeluar mana yang mereka percayai, kerana laluan fail bersama di seluruh armada bukan perkara yang sama dengan dasar bersama.

Hantar sijil perantaraan tanpa meluaskan kepercayaan

Kedua-dua pihak tidak perlu berkongsi satu rantaian pengeluaran. Apabila rakan mengemukakan sijil yang ditandatangani oleh perantaraan, pihak yang mengesahkan memerlukan perantaraan itu tersedia, dan OpenVPN membezakan input sauh kepercayaan daripada sijil tambahan yang digunakan untuk melengkapkan rantaian yang dikemukakan secara tempatan. Rujukan pilihan TLS OpenVPN 2.6 mendokumenkan kedua-duanya.

CA perantaraan bukan masalah pada dirinya sendiri, tetapi akar perusahaan yang luas yang dilemparkan ke dalam bungkusan kepercayaan adalah masalah. Semakin luas sauh, semakin banyak sijil lulus ujian rantaian, dan pemeriksaan peranan tidak menjadikannya senarai kakitangan yang dibenarkan. Sempitkan sauh kepada pengeluar yang benar-benar menandatangani identiti VPN di tempat hierarki membenarkannya. Jika tidak membenarkan, dokumenkan sauh yang lebih luas sebagai risiko yang sengaja diterima dan bukannya membiarkannya tersirat.

Bersetuju dengan pasukan PKI tentang bagaimana pembaharuan dan pembatalan sampai kepada pengesah VPN, termasuk pengeluar mana yang penting dan siapa yang menerbitkan senarai. Titik pengedaran CRL yang tertanam dalam sijil ialah arahan, bukan bukti bahawa sesuatu telah mengambilnya.

Putuskan bagaimana pembatalan benar-benar tiba

crl-verify menyebabkan pengesah merujuk fail atau titik akhir, dan aturan itu memerlukan pemilik dan laluan penyegaran. Senarai yang disalin sekali semasa penggunaan diam-diam berhenti melindungi anda apabila sijil pertama kali dibatalkan.

Catat masa penyebaran yang dijangka dan ujinya dengan sijil yang sanggup anda batalkan. Jika senarai tidak dapat disegarkan pada hos VPN, alternatifnya ialah tempoh sah yang lebih pendek serta proses pembaharuan yang benar-benar berjalan, bukan andaian bahawa pembatalan berfungsi kerana URL wujud.

Buktikan penerimaan dengan klien sebenar

Sambungkan klien yang sepatutnya dibenarkan dan sahkan butiran sijil yang dirundingkan dalam log. Kemudian cuba kes yang mesti gagal: sijil klien yang dikemukakan sebagai pelayan, sijil daripada pengeluar di luar sauh kepercayaan, dan sijil yang dibatalkan jika anda mempunyai satu yang berlebihan.

Catatkan pengeluar yang diterima, pemeriksaan peranan dan sumber pembatalan di sebelah profil. Catatan itulah yang diperlukan oleh jurutera seterusnya apabila peranti yang berfungsi bulan lalu berhenti menyambung, dan ia juga bukti bahawa CA perusahaan digunakan dalam sempadan penerimaan yang didokumenkan dan bukannya sebagai tempat pembuangan kepercayaan serba guna.