Inventori sijil VPN: apa yang boleh dibuktikan oleh lejar CA
Folder pada pelayan, lejar CA, senarai pembatalan dan jadual sesi menjawab soalan yang berbeza. Jauhkan semuanya semasa anda menginventori identiti VPN.
Gerbang anda menerima sijil klien yang belum pernah dilihatnya, kerana yang dikonfigurasikan padanya ialah pengeluar dipercayai, dan sijil itu tiba semasa handshake. Begitulah protokol sepatutnya berfungsi, dan itulah sebabnya senarai direktori pada pelayan menjadi inventori yang lemah. Pengeluar tahu apa yang diciptanya, pelayan tahu apa yang bersambung, dan status pembatalan tahu apa yang ditarik balik. Inventori yang mencampurkan ketiga-tiga rekod itu akhirnya mendakwa sesuatu yang tidak dikatakan oleh mana-mana daripadanya.
Gerbang mempercayai pengeluar, bukan senarai fail
Pengesahan membandingkan sijil yang dikemukakan dengan sauh kepercayaan, jadi identiti yang dicipta semalam oleh pengeluar yang sama bersambung tanpa pernah wujud pada cakera pelayan. Tiada apa yang perlu disalin untuk itu berlaku, dan tiada siapa perlu meluluskannya secara manual. Oleh itu rekod pelayan sendiri menggambarkan ketibaan, bukan populasi identiti yang mungkin tiba.
Jurang sebaliknya sama tidak selesa. Folder boleh menyimpan sijil tamat tempoh, sijil yang dibatalkan dan identiti yang dikeluarkan untuk peranti yang tidak pernah digunakan. Mengira fail menjawab berapa banyak fail ada, yang merupakan soalan yang tiada siapa tanya. Mulakan sebaliknya dengan rekod yang membawa makna.
Empat soalan, empat rekod berbeza
Setiap jenis rekod menjawab satu soalan dengan baik dan soalan lain dengan buruk, sebab itu laporan yang menggabungkannya kelihatan lengkap walaupun salah dalam cara tertentu. Jadual di bawah menyusunnya mengikut soalan yang diselesaikannya, bukan mengikut sistem yang menghasilkannya.
| Question you are answering | Where the answer lives | How quickly it changes | What it will never show |
|---|---|---|---|
| Was this identity ever created? | The issuer's issuance database | Only when something is issued | Whether the device still exists |
| Is a copy sitting on this host? | The paths you actually inspected | Whenever anyone copies files | Certificates that were never copied here |
| Has the issuer withdrawn it? | Published revocation state | When the issuer next publishes | Withdrawals that are not published yet |
| Is it connected right now? | The live session table | Continuously | Anything about past or future sessions |
Arkib sijil awam bukan rahsia, kerana ia tidak mengandungi kunci peribadi, tetapi ia juga tidak boleh dikongsi. Subjek dan nama peranti mendedahkan butiran operasi, dan laporan itu harus kekal bersama audiens yang memerlukannya. Kunci peribadi kekal sepenuhnya di luar inventori, kerana inventori memerlukan metadata, bukan kelayakan.
Pengeluar dan nombor siri ialah satu-satunya kunci stabil
Subjek dikitar semula dan nama fail digunakan semula, jadi nama yang mengenal pasti satu peranti tahun lalu mungkin kini mengenal pasti peranti lain. Kedua-duanya bukan kunci, dan laporan yang dibina atas salah satunya akhirnya akan menggabungkan dua identiti menjadi satu baris.
Pasangan pengeluar dan nombor siri mengenal pasti sijil secara unik, dan kedua-dua medan datang daripada sijil itu sendiri. Rekodkan bersama subjek, tarikh sah, sumber salinan itu datang, dan orang atau peranti yang bertanggungjawab. Tambah status pembatalan dan penggunaan sebagai medan berasingan dengan masa pemerhatian masing-masing, kerana sijil dalam tetingkap kesahihannya tidak diiktiraf secara automatik. Kedua-dua fakta ini hidup dalam sistem yang berbeza, dan menggabungkannya menyembunyikan kes apabila identiti ditarik balik sedangkan failnya masih kelihatan terkini.
Baca satu sijil pada satu masa
Kad liar yang berkembang merentas folder bukan antara muka kelompok, dan ia menyembunyikan fail mana yang menghasilkan output mana. Baca metadata bagi setiap sijil, dan baca bahagian pembatalan daripada artifaknya sendiri. Rujukan OpenSSL x509 menyenaraikan medan yang dicetak oleh pilihan tersebut.
openssl x509 -in <cert>.pem -noout -issuer -serial -subject -dates -fingerprint -sha256
openssl crl -in <issuer>.crl -noout -text | head -n 40Untuk PKI Easy-RSA terurus, tanya pangkalan data pengeluaran melalui aliran kerja yang disokong alat itu dan bukan mengandaikan susun atur direktori, dan kekalkan yang asal sebagai baca sahaja semasa inventori disusun. Format lejar cukup teratur untuk mengira entri sah dan menyenaraikan yang ditarik balik tanpa membuka pangkalan data secara manual.
grep -c '^V' pki/index.txt
grep '^R' pki/index.txt | cut -f4,5Inventori yang bertahan melalui pengeluaran seterusnya
Longgokan sekali jalan bagi sesuatu folder menjadi lapuk sebaik sahaja sijil seterusnya dikeluarkan, jadi bina laporan daripada aliran kerja pengeluaran dan biarkan ia dikemas kini sebagai sebahagian daripada operasi biasa. Ini juga menjadikan laporan boleh dihasilkan semula, yang penting apabila dua orang tidak bersetuju tentang apa yang dikeluarkan.
Gunakan hasilnya untuk keputusan pembaharuan dan persaraan dan bukan sebagai latihan hamparan. Memadam salinan tempatan tidak membatalkan salinan jauh yang sudah wujud. Tarik balik identiti melalui aliran kerja pembatalan dan kebenaran yang dikonfigurasikan, kemudian rekodkan penarikan balik itu dengan tarikhnya. Identiti yang hilang daripada pelayan tetapi masih dipercayai oleh pengeluar belum lagi dipersarakan, dan perbezaan itulah yang memisahkan inventori yang tepat daripada yang hanya menenangkan.