Bruk den eksisterende virksomhets-CA-en din for OpenVPN-peers

Ingenting i OpenVPN krever at sertifikatet kommer fra Easy-RSA, og en flåte som allerede har en organisatorisk PKI bør vanligvis ikke bygge en til. Det egentlige arbeidet er ikke å velge et verktøy, men å avgjøre hva de utstedte identitetene betyr, hvilke peers tunnelen godtar, og hvordan fornyelse og tilbakekalling når verifisereren. Gå gjennom de fem trinnene nedenfor i rekkefølge, fordi et senere trinn ikke kan reparere en rollebeslutning tatt i det første.

Utsted to roller i stedet for én delt identitet

Hver peer trenger sitt eget sertifikat og en matchende privat nøkkel. Be PKI-teamet om en serveridentitet med serverbruk og separate klientidentiteter med klientbruk, slik at tunnelen kan skille de to ved håndtrykket.

Motstå snarveiene som dukker opp under tidsfristpress. En webservers nøkkel kopiert til bærbare datamaskiner sletter skillet som rollekontrollen avhenger av, og en CA-signeringsnøkkel installert på et VPN-endepunkt gjør én kompromittert vert til en kompromittert hierarki. En PKCS12-pakke kan bære en endepunktsnøkkel og kjeden dens, men den gir aldri tillatelse til å gjenbruke den identiteten i en annen rolle.

Koble til tillitsinngangene på hver side

Klienten og serveren trenger hver sin tillitsanker, egen identitet og en eksplisitt rolleforventning. Et klientutdrag som angir alle tre ser slik ut.

client
ca /etc/openvpn/pki/issuing-root.pem
cert /etc/openvpn/pki/device-17.crt
key /etc/openvpn/pki/device-17.key
remote-cert-tls server
verify-x509-name vpn.corp.example name
crl-verify /etc/openvpn/pki/issuing.crl

Serversiden speiler det med remote-cert-tls client og sitt eget sertifikat, og det er dette som hindrer et klient sertifikat i å bli godtatt som server. Navnekontrollen er en beslutning atskilt fra rollekontrollen. Les den utrullede konfigurasjonen for å se hvilket felt som sammenlignes i stedet for å anta et nettleseraktig vertsnavnmatch. Begge sider bør også være eksplisitte om hvilken utsteder de stoler på, fordi en delt filbane i flåten ikke er det samme som en delt policy.

Lever mellomsertifikater uten å utvide tilliten

De to sidene trenger ikke dele én utstedelseskjede. Når en peer presenterer et sertifikat signert av en mellomutsteder, trenger den verifiserende siden den mellomutstederen tilgjengelig, og OpenVPN skiller tillitsankerinngangen fra de ekstra sertifikatene som brukes til å fullføre en lokalt presentert kjede. TLS-alternativreferansen for OpenVPN 2.6 dokumenterer begge.

En mellomliggende CA er ikke i seg selv et problem, men en bred virksomhetsrot sluppet i tillitsbunten er det. Jo bredere ankeret er, jo flere sertifikater består kjedetesten, og en rollekontroll gjør ikke det til en liste over autoriserte ansatte. Begrens ankeret til utstederen som faktisk signerer VPN-identiteter der hierarkiet tillater det. Hvis ikke, dokumenter det bredere ankeret som en bevisst akseptert risiko i stedet for å la det være implisitt.

Bli enig med PKI-teamet om hvordan fornyelse og tilbakekalling når VPN-verifisererne, inkludert hvilke utstedere som betyr noe og hvem som publiserer listen. Et CRL-distribusjonspunkt innebygd i et sertifikat er en instruksjon, ikke bevis på at noe hentet det.

Bestem hvordan tilbakekalling faktisk ankommer

crl-verify får verifisereren til å konsultere en fil eller et endepunkt, og den ordningen trenger en eier og en oppdateringssti. En liste som kopieres én gang under utrullingen slutter stille å beskytte deg første gang et sertifikat tilbakekalles.

Skriv ned forventet spredningstid og test den med et sertifikat du er villig til å tilbakekalle. Hvis listen ikke kan oppdateres på VPN-verten, er alternativet en kortere gyldighetsperiode pluss en fornyelsesprosess som faktisk kjører, ikke en antakelse om at tilbakekalling virker fordi det finnes en URL.

Bevis godtakelse med en ekte klient

Koble til en klient som bør tillates og bekreft de forhandlede sertifikatdetaljene i loggen. Prøv deretter tilfellene som må mislykkes: et klientsertifikat presentert som server, et sertifikat fra en utsteder utenfor tillitsankeret, og et tilbakekalt sertifikat hvis du har et til overs.

Registrer den godtatte utstederen, rollekontrollen og tilbakekallingskilden ved siden av profilen. Den registreringen er det neste ingeniør trenger når en enhet som virket forrige måned slutter å koble til, og det er også beviset på at virksomhets-CA-en brukes innenfor en dokumentert godtakelsesgrense i stedet for som en tillitsdump for generelle formål.