Bruk den eksisterande verksemds-CA-en din for OpenVPN-peers

Ingenting i OpenVPN krev at sertifikatet kjem frå Easy-RSA, og ein flåte som allereie har ein organisatorisk PKI bør vanlegvis ikkje byggje ein til. Det eigentlege arbeidet er ikkje å velje eit verktøy, men å avgjere kva dei utsteda identitetane tyder, kva peers tunnelen godtek, og korleis fornying og tilbakekalling når verifiseraren. Gå gjennom dei fem trinna nedanfor i rekkefølgje, fordi eit seinare trinn ikkje kan reparere ei rolleavgjerd teken i det første.

Utsted to roller i staden for éin delt identitet

Kvar peer treng sitt eige sertifikat og ein matchende privat nøkkel. Be PKI-teamet om ein serveridentitet med serverbruk og eigne klientidentitetar med klientbruk, slik at tunnelen kan skilje dei to ved handtrykket.

Stå imot snarveggane som dukkar opp under tidsfristpress. Ein webserver sin nøkkel kopiert til berbare datamaskiner slettar skiljet som rollekontrollen er avhengig av, og ein CA-signeringsnøkkel installert på eit VPN-endepunkt gjer éin kompromittert vert til ein kompromittert hierarki. Ei PKCS12-pakke kan bere ein endepunktsnøkkel og kjeda hans, men ho gjev aldri løyve til å bruke den identiteten om att i ei anna rolle.

Kople til tillitsinngangane på kvar side

Klienten og serveren treng kvar sin tillitsanker, eigen identitet og ei eksplisitt rolleforventing. Eit klientutdrag som nemner alle tre ser slik ut.

client
ca /etc/openvpn/pki/issuing-root.pem
cert /etc/openvpn/pki/device-17.crt
key /etc/openvpn/pki/device-17.key
remote-cert-tls server
verify-x509-name vpn.corp.example name
crl-verify /etc/openvpn/pki/issuing.crl

Serversida speglar det med remote-cert-tls client og sitt eige sertifikat, og det er dette som hindrar eit klientsertifikat i å bli godteke som server. Namnekontrollen er ei avgjerd skild frå rollekontrollen. Les den utrulla konfigurasjonen for å sjå kva felt som blir samanlikna i staden for å anta ein nettlesaraktig vertsnamnmatch. Begge sidene bør også vere eksplisitte om kva utferdar dei stolar på, fordi ein delt filbane i flåten ikkje er det same som ein delt policy.

Lever mellomsertifikat utan å utvide tilliten

Dei to sidene treng ikkje dele éi utferdskjede. Når ein peer presenterer eit sertifikat signert av ein mellomutferdar, treng den verifiserande sida den mellomutferdaren tilgjengeleg, og OpenVPN skil tillitsankerinngangen frå dei ekstra sertifikata som blir brukte til å fullføre ei lokalt presentert kjede. TLS-alternativreferansen for OpenVPN 2.6 dokumenterer begge.

Ein mellomliggande CA er ikkje i seg sjølv eit problem, men ein brei verksemdsrot sleppt i tillitsbunten er det. Jo breiare ankeret er, jo fleire sertifikat består kjedetesten, og ein rollekontroll gjer ikkje det til ei liste over autoriserte tilsette. Avgrens ankeret til utferdaren som faktisk signerer VPN-identitetar der hierarkiet tillèt det. Viss ikkje, dokumenter det breiare ankeret som ein medvite akseptert risiko i staden for å la det vere implisitt.

Bli samde med PKI-teamet om korleis fornying og tilbakekalling når VPN-verifiserarane, inkludert kva utferdarar som betyr noko og kven som publiserer lista. Eit CRL-distribusjonspunkt innebygd i eit sertifikat er ein instruks, ikkje prov på at noko henta det.

Avgjer korleis tilbakekalling faktisk kjem inn

crl-verify får verifiseraren til å konsultere ei fil eller eit endepunkt, og den ordninga treng ein eigar og ein oppdateringssti. Ei liste som blir kopiert éin gong under utrullinga sluttar stille å verne deg første gongen eit sertifikat blir tilbakekalla.

Skriv ned forventa spreiingstid og test ho med eit sertifikat du er villig til å tilbakekalle. Viss lista ikkje kan oppdaterast på VPN-verten, er alternativet ein kortare gyldigheitsperiode pluss ein fornyingsprosess som faktisk køyrer, ikkje ei antaking om at tilbakekalling verkar fordi det finst ein URL.

Prov godtakinga med ein ekte klient

Kople til ein klient som bør tillatast og stadfest dei forhandla sertifikatdetaljane i loggen. Prøv deretter tilfella som må mislukkast: eit klientsertifikat presentert som server, eit sertifikat frå ein utferdar utanfor tillitsankeret, og eit tilbakekalla sertifikat viss du har eit til overs.

Registrer den godtekne utferdaren, rollekontrollen og tilbakekallingskjelda ved sida av profilen. Den registreringa er det neste ingeniør treng når ei eining som verka førre månad sluttar å kople til, og det er også provet på at verksemds-CA-en blir brukt innanfor ei dokumentert godtakingsgrense i staden for som ein tillitsdump for allmenne føremål.