Hebt u Easy-RSA nodig voor OpenVPN? Het hangt ervan af wie de CA bezit

Een tutorial zegt dat u Easy-RSA moet installeren voordat u OpenVPN instelt, dus mensen nemen aan dat de twee bij elkaar horen. Dat is niet zo. Easy-RSA is een PKI-beheergereedschap dat OpenSSL aanstuurt; OpenVPN is de tunnel. Het ene bepaalt wie vertrouwd moet worden, het andere verplaatst pakketten.

De vergelijking die ertoe doet is niet welk gereedschap beter is. Het is wie de uitgever in uw organisatie bezit.

Wat Easy-RSA werkelijk is

Het project beschrijft zichzelf als een PKI-beheergereedschap voor X.509, waarbij OpenSSL het cryptografische werk doet. Dat betekent dat het sleutelgeneratie, certificaataanvragen, ondertekeningsbeleid en intrekking in een herhaalbaar mappenstructuur verpakt. Het voegt geen versleutelingslaag toe aan een bestaande tunnel en het maakt RSA niet sterker dan dezelfde sleutel uit een ander bekwaam gereedschap. Wat het doet, is de werkstroom controleerbaar maken.

Dat is een echt voordeel, maar een operationeel en geen cryptografisch voordeel.

Volg één laptop door de inschrijving

Een nieuwe laptop genereert zijn eigen sleutel en dient een certificaataanvraag in, zodat de privésleutel het apparaat nooit verlaat. De uitgever ondertekent die aanvraag vervolgens met een type dat de juiste extensies voor een cliëntrol kiest. In Easy-RSA is dat ./easyrsa sign-req client laptop-a.

De beheerder moet nog steeds beslissen dat deze persoon toegang verdient. Geen enkel ondertekeningsgereedschap leidt een recht af uit een algemene naam.

Het ondertekende certificaat gaat terug naar het apparaat met de bijbehorende sleutel, en de VPN-implementatie levert afzonderlijk serververtrouwen, identiteitscontroles, netwerkbeleid en accountvereisten. Een bestand in de uitvoermap van de uitgever bewijst daar niets van. Alleen een voltooide handshake doet dat.

Volg dezelfde laptop bij het uitstappen

Verwijdering is waar de keuze van uitgever echt zichtbaar wordt. Een bruikbare werkstroom identificeert het certificaat, registreert de intrekking en levert wat systemen die erop vertrouwen nodig hebben om het te weigeren. Easy-RSA scheidt ./easyrsa revoke laptop-a van ./easyrsa gen-crl, en de tweede stap is degene die mensen vergeten. Een CRL bij de uitgever genereren levert die aan geen enkele VPN-verificateur.

Distributie, herlaaggedrag en wat er gebeurt met al opgezette sessies zijn implementatiebeslissingen, geen gereedschapsfuncties.

Dat gat is het praktische argument voor een gevestigde werkstroom boven een hoop ad-hoc openssl-opdrachten. Het moeilijke deel van een uitgever draaien is niet het eerste certificaat. Het is het samenhangend houden van uitgifterecords, back-ups, verlengingen en verwijderingen terwijl apparaten komen en gaan.

Wanneer er al een uitgever is

Als uw organisatie al een goedgekeurde certificaatdienst draait, schrijf u dan daardoor in. Een tweede CA opzetten omdat een tutorial Easy-RSA-opdrachten bevatte, levert werk op voor vertrouwensdistributie, werk voor back-ups en een tweede ding dat correct ingetrokken moet worden.

Een lokale uitgever is een toezegging om een CA te draaien, geen vinkje in een installatiehandleiding.

Wanneer Easy-RSA de juiste keuze is

Voor een kleine privé-implementatie die echt een eigen uitgever nodig heeft, geeft Easy-RSA een gerichte werkstroom zonder elke handeling met de hand samen te stellen. De oorspronkelijke Easy-RSA-handleiding behandelt de stappen aanvraag, ondertekenen, intrekken en CRL in volgorde. Houd het CA-ondertekeningsmateriaal bij de aangewezen eigenaar; cliënten hebben hun eigen inloggegevens en het relevante openbare vertrouwen nodig, nooit een kopie van de ondertekeningssleutel.

Een op PIN gebaseerd OpenVPN-ontwerp is een andere legitieme vertrouwensregeling, geen kapotte PKI die op reparatie wacht. En accountaanmelding neemt de noodzaak niet weg om de server te authenticeren onder welk protocol u ook hebt gekozen.

Beantwoord vier vragen voordat u kiest: wie keurt een nieuwe identiteit goed, waar leeft de privésleutel, hoe bereikt het certificaat de cliënt en hoe houdt een uitgefaseerde identiteit op te worden geaccepteerd.