के तपाईंलाई OpenVPN का लागि Easy-RSA चाहिन्छ? यो CA कसको स्वामित्वमा छ भन्नेमा निर्भर गर्दछ

एउटा ट्युटोरियलले OpenVPN सेटअप गर्नु अघि Easy-RSA स्थापना गर्न भन्छ, त्यसैले मानिसहरू दुवै एउटै प्याकेज हुन् भन्ने ठान्छन्। त्यस्तो होइन। Easy-RSA OpenSSL चलाउने PKI व्यवस्थापन उपकरण हो; OpenVPN सुरुङ हो। एउटाले कसलाई विश्वास गर्ने भन्ने निर्णय गर्छ, अर्कोले प्याकेट सार्छ।

महत्त्वपूर्ण तुलना कुन उपकरण राम्रो छ भन्ने होइन। तपाईंको संस्थामा जारीकर्ता कसको स्वामित्वमा छ भन्ने हो।

Easy-RSA वास्तवमा के हो

यो परियोजना आफूलाई X.509 PKI व्यवस्थापन उपकरण भन्छ, जसमा क्रिप्टोग्राफिक काम OpenSSL ले गर्छ। यसको अर्थ यसले कुञ्जी उत्पादन, प्रमाणपत्र अनुरोध, हस्ताक्षर नीति र रद्दीलाई दोहोर्याउन सकिने डाइरेक्टरी संरचनामा बेर्छ। यसले पहिले नै स्थापित सुरुङमा इन्क्रिप्शनको तह थप्दैन, र अर्को सक्षम उपकरणले बनाएको त्यही कुञ्जीभन्दा RSA लाई बलियो बनाउँदैन। यसले गर्ने भनेको कार्यप्रवाहलाई लेखापरीक्षणयोग्य बनाउनु हो।

त्यो वास्तविक लाभ हो, तर क्रिप्टोग्राफिक होइन, सञ्चालनगत लाभ हो।

एउटा ल्यापटपलाई दर्ताको क्रममा पछ्याउनुहोस्

नयाँ ल्यापटपले आफ्नै कुञ्जी बनाउँछ र प्रमाणपत्र अनुरोध पेस गर्छ, त्यसैले निजी कुञ्जी कहिल्यै उपकरण छोड्दैन। त्यसपछि जारीकर्ताले त्यो अनुरोधमा ग्राहक भूमिकाका लागि सही विस्तार छान्ने प्रकारले हस्ताक्षर गर्छ। Easy-RSA मा त्यो यो हो: ./easyrsa sign-req client laptop-a।

त्यो व्यक्ति पहुँचको योग्य छ भनी सञ्चालकले अझै निर्णय गर्नुपर्छ। कुनै हस्ताक्षर उपकरणले सामान्य नामबाट अधिकार निकाल्दैन।

हस्ताक्षर गरिएको प्रमाणपत्र फर्कन्छ मिल्ने कुञ्जी भएको उपकरणमा, र VPN तैनाथीले छुट्टै रूपमा सर्भर विश्वास, पहिचान जाँच, सञ्जाल नीति र खाता आवश्यकताहरू प्रदान गर्छ। जारीकर्ताको आउटपुट डाइरेक्टरीको फाइलले यीमध्ये केही पनि प्रमाणित गर्दैन। पूरा भएको ह्यान्डशेकले मात्र गर्छ।

त्यही ल्यापटप बाहिर जाँदा पछ्याउनुहोस्

जारीकर्ताको छनोट साँच्चै देखिने ठाउँ हटाउने प्रक्रिया हो। उपयोगी कार्यप्रवाहले प्रमाणपत्र पहिचान गर्छ, रद्दीकरण अभिलेख गर्छ र त्यसमा भर पर्ने प्रणालीलाई अस्वीकार गर्न आवश्यक कुरा उत्पादन गर्छ। Easy-RSA ले ./easyrsa revoke laptop-a र ./easyrsa gen-crl छुट्याउँछ, र दोस्रो चरण नै मानिसहरूले बिर्सने हो। जारीकर्तामा CRL बनाउँदा त्यो कुनै पनि VPN प्रमाणकसम्म पुग्दैन।

वितरण, पुनः लोड हुने व्यवहार र पहिले नै स्थापित सत्रहरूलाई के हुन्छ भन्ने तैनाथीका निर्णय हुन्, उपकरणका विशेषता होइनन्।

त्यो खाडल नै स्थापित कार्यप्रवाहको पक्षमा व्यावहारिक तर्क हो, छरिएका openssl आदेशहरूको थुप्रोविरुद्ध। जारीकर्ता चलाउने कठिन भाग पहिलो प्रमाणपत्र होइन। उपकरण आउने-जाने क्रममा जारी अभिलेख, ब्याकअप, नवीकरण र हटाउने कार्य सुसंगत राख्नु हो।

जब जारीकर्ता पहिले नै अवस्थित छ

यदि तपाईंको संस्थाले पहिले नै स्वीकृत प्रमाणपत्र सेवा चलाइरहेको छ भने त्यसैमार्फत दर्ता गर्नुहोस्। ट्युटोरियलमा Easy-RSA आदेशहरू थिए भनेर दोस्रो CA उभ्याउँदा विश्वास वितरणको काम, ब्याकअपको काम र ठीकसँग रद्द गर्नुपर्ने अर्को चीज सिर्जना हुन्छ।

स्थानीय जारीकर्ता CA चलाउने प्रतिबद्धता हो, सेटअप गाइडको चेकबक्स होइन।

कहिले Easy-RSA सही निर्णय हो

साँच्चै आफ्नै जारीकर्ता चाहिने सानो निजी तैनाथीका लागि, प्रत्येक कार्य हातले जोड्नु नपरी Easy-RSA ले केन्द्रित कार्यप्रवाह दिन्छ। मूल Easy-RSA गाइड ले अनुरोध, हस्ताक्षर, रद्दीकरण र CRL का चरणहरू क्रममा समेट्छ। CA को हस्ताक्षर सामग्री यसको तोकिएको मालिकसँग राख्नुहोस्; ग्राहकलाई आफ्नै प्रमाणहरू र सम्बन्धित सार्वजनिक विश्वास चाहिन्छ, हस्ताक्षर कुञ्जीको प्रतिलिपि कहिल्यै होइन।

PIN आधारित OpenVPN डिजाइन अर्को वैध विश्वास व्यवस्था हो, मर्मतको प्रतीक्षामा रहेको बिग्रिएको PKI होइन। र खाता लगइनले तपाईंले छान्नुभएको कुनै पनि प्रोटोकलअन्तर्गत सर्भर प्रमाणित गर्ने आवश्यकता हटाउँदैन।

छनोट गर्नु अघि चार प्रश्नको उत्तर दिनुहोस्: नयाँ पहिचान कसले स्वीकृत गर्छ, यसको निजी कुञ्जी कहाँ बस्छ, प्रमाणपत्र ग्राहकसम्म कसरी पुग्छ, र अवकाशप्राप्त पहिचान कसरी स्वीकार्य हुन छोड्छ।