Dodavanje VPN klijenta bez ponovne izgradnje CA

Treba vam još jedan sertifikat za još jedan laptop, ali prva uputstva u rezultatima pretrage počinju naredbom koja briše PKI direktorijum. Ta naredba pripada prvom podešavanju, ne upisu, i njeno pokretanje košta vas CA, istoriju izdavanja i svaki klijentski profil koji je verovao starom izdavaocu. Odluka je uža: ima li vaš izdavalac još upotrebljivo stanje i uklapa li se novi uređaj u politiku upisa koju već vodite? Tri uslova odlučuju, a samo jedan opravdava ponovnu izgradnju.

Šta ponovna izgradnja zaista uništava

Ponovna inicijalizacija PKI zamenjuje direktorijum praznom strukturom: novi CA ključ i sertifikat, prazna baza izdavanja, novi brojač serija. Klijenti ne slede sami; njihovi profili prikivaju stari CA, pa se svaki uređaj mora ponovo upisati, a nedostupni ručno.

Tiši gubitak je evidencija. Opoziv zavisi od toga da znate koje ste serijske brojeve kome izdali. Obrišite indeks i još možete potpisivati, ali ne možete sa sigurnošću reći koje ste od preostalih sertifikata hteli opozvati. CA direktorijum sa sertifikatima bez odgovarajućeg stanja izdavaoca je rezervna kopija koja vraća pogrešnu polovinu sistema.

Kopiranje privatnog ključa CA pored servera koji radi je drugi prečica koji treba odbiti: pretvara telo potpisa koje treba stajati van mreže u još jedan fajl na hostu sa nepouzdanim saobraćajem.

Prvi uslov: je li stanje izdavaoca dostupno

Nađite direktorijum kojem server zaista veruje pre bilo kakve odluke. Uporedite sertifikat koji server predstavlja kao CA sa onim u PKI direktorijumu po otisku, ne po imenu fajla:

openssl x509 -in ca.crt -noout -fingerprint -sha256
openssl x509 -in /etc/openvpn/ca.crt -noout -fingerprint -sha256

Ako se otisci poklapaju, upis je inkrementalan i ništa ne gradite ponovo. Ako se razlikuju, potpisujete CA kojoj server ne veruje: sertifikat se čisto instalira i pada na rukovanju, a ta greška se satima pogrešno pripisuje klijentu.

Zatim tražite stanje izdavanja: indeks, brojač serija i fajl broja CRL. Ako indeksa nema a ključ postoji, možete izdavati, ali nasleđujete problem evidentiranja opoziva. Zapišite to u zapis promena, jer će ga sledeći zahtev za opoziv otkriti.

Drugi uslov: ko drži novi privatni ključ

Ovu odluku korisnici osete, pa je donesite izričito. Ključ koji generiše klijent i preda kao zahtev zadržava privatnu polovinu na uređaju od prve naredbe i administrator je nikad ne dodiruje. Ključ generisan na serveru lakši je za uređaje bez alata, ali administratora čini čuvarom svakog ključa i širi posledice kompromitacije servera.

Uz Easy-RSA 3 prema postojećem CA, uvoz i potpis zahteva su dve naredbe:

./easyrsa import-req /tmp/alice.req alice
./easyrsa sign-req client alice

Izaberite tip sertifikata namerno. Zahtev potpisan kao serverski umesto klijentskog sertifikata daje fajl koji izgleda dobro i koji partner odbija, a poruka o grešci retko kaže zašto. Uz openssl ca isti izbor živi u ekstenzijama koje prosledite, ne u podrazumevanoj sekciji.

Treći uslov: treba li server više od sertifikata

Za običan OpenVPN server sa autentifikacijom sertifikatom, sertifikat jeste upis: zajedničko ime postaje identitet klijenta, a direktorijum, gurnuta ruta ili statična adresa vezani su za to ime. Dodajte sertifikat i zaboravite konfiguraciju, tunel se poveže ali potrebne rute se ne pojave.

Platforme to menjaju. OpenVPN Access Server drži sopstvenu bazu korisnika, pa potpisani sertifikat nije nalog; nalog mora postojati i biti dozvoljen. Drugi pristupnici vezuju identitet za grupu. Upis jednog uređaja obično dira dva sistema, a sertifikat je samo prvi.

Inkrementalni postupak i kada je ponovna izgradnja ispravna

Sled koji dodaje jedan uređaj bez štete: potvrdite izdavaoca po otisku, uzmite svežu kopiju PKI direktorijuma, uvezite i potpišite zahtev za klijentsku ulogu, predajte sertifikat sa lancem kroz odobreni kanal, pa proverite pre povezivanja:

openssl verify -CAfile ca.crt alice.crt
openssl x509 -in alice.crt -noout -subject -issuer -dates -purpose

Linija namene treba pokazati SSL client. Završite ažuriranjem kopije CA nakon izdavanja, jer kopija nastala pre upisa nove serije vraća stanje bez uređaja koji ste upravo dodali.

Ponovna izgradnja je ispravna u tri slučaja: ključ CA je kompromitovan, stanje izdavanja je nepovratno izgubljeno ili namerno menjate algoritam ključa ili politiku sertifikata. Sva tri su projekti sa planom ponovnog upisa svakog klijenta, ne koraci u zahtevu za jedan uređaj. Ako ništa ne važi, upišite inkrementalno i ostavite izdavaoca na miru.