AWS Client VPN: क्लाइन्ट प्रमाणपत्र कुन CA ले जारी गर्नुपर्छ?
अवस्थित CA, स्व-सञ्चालित जारीकर्ता र AWS Private CA ले काम फरक तरिकाले बाँड्छन्। सुरु गर्नु अघि क्लाइन्ट प्रमाणपत्र कसले स्वीकृत, नवीकरण र रद्द गर्छ भन्ने निर्णय गर्नुहोस्।
AWS Client VPN मा प्रमाणपत्रको प्रश्न उत्पादनको प्रश्नका रूपमा सोधिन्छ, तर वास्तवमा यो सञ्चालनको प्रश्न हो। सामान्य तीन सेटअपमध्ये जुनसुकैले पनि काम गर्ने टनेल कायम राख्छ: अवस्थित संगठनात्मक CA, समर्पित स्व-सञ्चालित जारीकर्ता, वा AWS Private CA। ती उपकरण कसले स्वीकृत गर्छ, हस्ताक्षर कुञ्जी कसको साथमा रहन्छ, र असुविधाजनक समयमा ल्यापटप हराउँदा कसले जवाफ दिन्छ भन्नेमा फरक पर्छन्। जसको मालिक तपाईं नाम लिन सक्नुहुन्छ त्यो विकल्प रोज्नुहोस्।
AWS ले प्रमाणपत्रमा आधारित प्रमाणीकरणका लागि Private CA अनिवार्य गर्दैन। ACM मा सर्भर प्रमाणपत्र राख्नु तैनाथीको चरण हो, दर्ता प्रक्रिया होइन।
निर्णय गर्ने तीन सर्त
तीन सर्तले विकल्पहरूलाई स्पष्ट छुट्याउँछन्: स्वीकृत उपकरण-दर्ता प्रक्रिया पहिल्यै छ कि छैन, ब्याकअप र नामित मालिकसहित हस्ताक्षर कुञ्जी सञ्चालन गर्न सकिन्छ कि सकिँदैन, र रद्दीकरण अन्तिम बिन्दुमा कसरी पुग्छ। प्रत्येक हो वा होइनको नजिक छ, र पहिलो होइनले सामान्यतया संरचना निर्धारण गर्छ।
ती क्रममा हेर्नुहोस्। सिधै लागत तुलनामा उफ्रनु भनेको टोलीहरू व्यवस्थित CA सहित बस्ने र अर्को ल्यापटप प्रमाणपत्र कसले जारी गर्ने भन्ने कसैलाई थाहा नहुने अवस्थामा पुग्नु हो।
| Option | You still own | Fits when |
|---|---|---|
| Existing organizational CA | Enrollment, approvals, revocation list | A device process already exists |
| Self-run issuer | Signing-key custody, backups, revocation list | You can staff key custody |
| AWS Private CA | Policy, permissions, certificate delivery | Your PKI already lives in AWS |
पहिलो सर्त: दर्ता पहिल्यै छ?
यदि तपाईंको संगठनले पहिल्यै स्वीकृत उपकरण-दर्ता मार्ग भएको CA चलाइरहेको छ भने, त्यहाँबाट Client VPN क्लाइन्ट प्रमाणपत्र जारी गर्नु सबैभन्दा छोटो मार्ग हो। स्वीकृति, प्रक्रिया र सम्पत्ति अभिलेख पहिल्यै त्यहाँ छन्। त्यो पदानुक्रममुनि समर्पित अधीनस्थ जारीकर्ता सामान्य उद्देश्यको जारीकर्ता CA भन्दा सामान्यतया राम्रो हुन्छ, किनकि यसले VPN लाई आफ्नै विश्वास सीमा र आफ्नै रद्दीकरण सूची दिन्छ। त्यो सूची पदानुक्रमको बाँकी भागबाट अलग राख्नुहोस् ताकि कुनै VPN घटनाले सम्पूर्ण PKI मा परिवर्तन थोप्न नपरोस्।
यस्तो प्रक्रिया छैन भने, वास्तविक प्रश्न तपाईं यो बनाउन चाहनुहुन्छ कि भन्ने हो। CA सुरु गर्न सजिलो र नराम्ररी राख्न महँगो हुन्छ।
दोस्रो सर्त: तपाईं हस्ताक्षर कुञ्जी सञ्चालन गर्न सक्नुहुन्छ?
स्व-सञ्चालित जारीकर्ता कागजात गरिएको आयात मोडेलसँग काम गर्छ, र EasyRSA वा सानो आन्तरिक उपकरणले सामग्री बनाउन सक्छ। आदेश चलाउनु कठिन भाग होइन। कठिन भाग हस्ताक्षर कुञ्जीको अफलाइन ब्याकअप, कसैले वास्तवमै परीक्षण गरेको पुनःप्राप्ति मार्ग, बिदामा नभएको मालिक, र कुञ्जी कहिल्यै क्लाइन्ट बन्डल वा कन्फिगरेसन निर्यातमा नपुग्ने नियम हो। पहिलो प्रमाणपत्र जारी हुनुअघि यसलाई प्रक्रियाका रूपमा लेख्नुहोस्, पहिलो घटनापछि होइन।
AWS Private CA त्यो संरक्षण व्यवस्थित सेवामा सार्छ। यसले दर्ता नीति, स्वीकृति चरण वा उपकरणसम्म प्रमाणपत्र पुर्याउने काम सार्दैन।
तेस्रो सर्त: रद्दीकरण कसरी आउँछ?
Client VPN ले तपाईंले अन्तिम बिन्दुमा आयात गर्ने क्लाइन्ट-प्रमाणपत्र रद्दीकरण सूची उपभोग गर्छ, प्रमाणपत्र जीवनचक्र मार्गदर्शिकामा वर्णन गरिएअनुसार। तपाईंको PKI मा अन्यत्र CRL प्रकाशित गर्दा त्यो सेवामा धकेलिँदैन। आयात छुट्टै, तालिकाबद्ध कार्य हो, र म्याद सकिएको सूचीले चुपचाप कमजोर हुनुको सट्टा जडान रोक्छ। नवीकरण प्रमाणपत्रकै पात्रोमा राख्नुहोस्।
यसले नवीकरणलाई मालिक भएको अनुगमन वस्तु बनाउँछ, सुरुमै सकिने काम होइन। संयन्त्र साँच्चै आवश्यक हुनुअघि एउटा परीक्षण प्रमाणपत्र सुरुदेखि अन्त्यसम्म रद्द गर्नुहोस्।
कुनै पनि विकल्पले हटाउन नसक्ने
प्रत्येक विकल्पलाई अझै प्रत्येक स्वतन्त्र रूपमा व्यवस्थित उपकरणका लागि छुट्टै क्लाइन्ट प्रमाणपत्र र कुञ्जी आवश्यक छ। सबैलाई एउटै पहिचान बाँड्ने ट्युटोरियल ट्युटोरियलको छोटो बाटो हो, र यसले छनोट रद्दीकरण पनि असम्भव बनाउँछ।
ACM मा आयात गरिएका सर्भर प्रमाणपत्रमा व्यवस्थित नवीकरण हुँदैन, त्यसैले मालिकले प्रतिस्थापन ल्याउन, पुनः आयात गर्न र त्यसपछि अन्तिम बिन्दुले स्वीकार गरेको पुष्टि गर्नुपर्छ। सर्भर प्रमाणपत्र नवीकरण गर्दा ल्यापटपमा पहिल्यै रहेका क्लाइन्ट प्रमाणहरू नवीकरण हुँदैनन्। ती छुट्टै पात्रो भएका छुट्टै जीवनचक्र हुन्।
केही जारी गर्नुअघि सेवाले स्वीकार गर्ने कुञ्जी प्रकार र विस्तार जाँच्नुहोस्। CA ले कुनै एल्गोरिदम समर्थन गर्नु भनेको अन्तिम बिन्दुले त्यो स्वीकार गर्छ भन्ने होइन।
सुरु गर्नुअघि तपाईंले रोजेको कार्यप्रवाहबाट एउटा नवीकरण र एउटा क्लाइन्ट हटाउने काम गर्नुहोस्, र कुन प्रमाण परिवर्तन भयो, कुन अन्तिम बिन्दु सेटिङ परिवर्तन भयो र सक्रिय सत्रलाई के भयो लेख्नुहोस्। त्यो अभ्यास स्पष्ट मालिकबिना सकियो भने जारीकर्ताको छनोट सकिएको छैन।