OpenVPN සහකරුවන් සඳහා ඔබේ දැනටමත් ඇති ව්‍යාපාරික CA භාවිත කරන්න

OpenVPN තුළ කිසිවක් සහතිකය Easy-RSA වෙතින් පැමිණිය යුතු බව ඉල්ලා නොසිටී, සහ දැනටමත් සංවිධානික PKI ඇති බලඇණියක් සාමාන්‍යයෙන් දෙවැන්නක් තැනිය යුතු නොවේ. සැබෑ කාර්යය මෙවලමක් තෝරා ගැනීම නොව, නිකුත් කළ අනන්‍යතාවල අර්ථය කුමක්ද, උමඟ කුමන සහකරුවන් පිළිගනීද සහ අලුත් කිරීම හා අවලංගු කිරීම සත්‍යාපකය වෙත ළඟා වන්නේ කෙසේද යන්න තීරණය කිරීමයි. පහත පියවර පහ අනුපිළිවෙලින් සම්පූර්ණ කරන්න, මන්ද පසු පියවරකට පළමුවැන්නේ ගත් භූමිකා තීරණයක් අලුත්වැඩියා කළ නොහැකි බැවිනි.

එක් පොදු අනන්‍යතාවක් වෙනුවට භූමිකා දෙකක් නිකුත් කරන්න

සෑම සහකරුවෙකුටම තමන්ගේම සහතිකයක් සහ ඊට ගැළපෙන පුද්ගලික යතුරක් අවශ්‍යයි. PKI කණ්ඩායමෙන් සේවාදායක භාවිතය සහිත සේවාදායක අනන්‍යතාවක් සහ පාරිභෝගික භාවිතය සහිත වෙන වෙනම පාරිභෝගික අනන්‍යතා ඉල්ලා සිටින්න, එවිට උමඟට අත් සෙල්ලම් කිරීමේදී දෙක වෙන්කර හඳුනාගත හැක.

කාල සීමා බලපෑම යටතේ දිස්වන කෙටි මාර්ගවලට එරෙහි වන්න. වෙබ් සේවාදායකයක යතුරක් ලැප්ටොප්වලට පිටපත් කිරීම භූමිකා පරීක්ෂාව රඳා පවතින වෙනස මකා දමයි, සහ VPN අන්ත ලක්ෂ්‍යයක ස්ථාපිත CA අත්සන් යතුරක් එක් අවභාවිත සත්කාරකයක් අවභාවිත පරම්පරාවක් බවට පත් කරයි. PKCS12 බඳුනකට අන්ත ලක්ෂ්‍ය යතුරක් සහ එහි දාමය ගෙන යා හැකි නමුත්, එම අනන්‍යතාව තවත් භූමිකාවක නැවත භාවිත කිරීමට කිසිදා අවසර නොදෙයි.

සෑම පැත්තකම විශ්වාස ආදාන සම්බන්ධ කරන්න

පාරිභෝගිකයාට සහ සේවාදායකයාට එක් එක් අයට විශ්වාස නැංගුරමක්, තමන්ගේම අනන්‍යතාවක් සහ පැහැදිලි භූමිකා අපේක්ෂාවක් අවශ්‍යයි. තුනම සඳහන් කරන පාරිභෝගික කොටසක් මේ ආකාරයෙන් පෙනේ.

client
ca /etc/openvpn/pki/issuing-root.pem
cert /etc/openvpn/pki/device-17.crt
key /etc/openvpn/pki/device-17.key
remote-cert-tls server
verify-x509-name vpn.corp.example name
crl-verify /etc/openvpn/pki/issuing.crl

සේවාදායක පැත්ත remote-cert-tls client සහ තමන්ගේම සහතිකය සමඟ එය ප්‍රතිබිම්බනය කරයි, සහ පාරිභෝගික සහතිකයක් සේවාදායකයක් ලෙස පිළිගැනීම වළක්වන්නේ එයයි. නාම පරීක්ෂාව භූමිකා පරීක්ෂාවෙන් වෙනස් තීරණයකි. බ්‍රවුසර ශෛලියේ සත්කාරක නාම ගැළපීමක් උපකල්පනය කරනවාට වඩා කුමන ක්ෂේත්‍රය සංසන්දනය කරන්නේදැයි බැලීමට යොදවා ඇති වින්‍යාසය කියවන්න. දෙපැත්තම තමන් විශ්වාස කරන නිකුත් කරන්නා පැහැදිලිව පැවසිය යුතුය, මන්ද බලඇණිය පුරා බෙදාගත් ගොනු මාර්ගයක් බෙදාගත් ප්‍රතිපත්තියක් හා සමාන නොවන බැවිනි.

විශ්වාසය පුළුල් නොකර අතරමැදි සහතික බෙදාහරින්න

දෙපැත්තට එකම නිකුතු දාමයක් බෙදාගත යුතු නැත. සහකරුවෙකු අතරමැදියෙකු අත්සන් කළ සහතිකයක් ඉදිරිපත් කරන විට, සත්‍යාපනය කරන පැත්තට එම අතරමැදියා ලබා ගත හැකිව තිබිය යුතුය, සහ OpenVPN විශ්වාස නැංගුරම් ආදානය දේශීයව ඉදිරිපත් කළ දාමය සම්පූර්ණ කිරීමට භාවිත කරන අමතර සහතිකවලින් වෙන්කර හඳුනාගනී. OpenVPN 2.6 හි TLS විකල්ප සඳහන දෙකම ලේඛනගත කරයි.

අතරමැදි CA එකක් තමන් විසින්ම ගැටලුවක් නොවේ, නමුත් විශ්වාස මිටියට දමන ලද පුළුල් ව්‍යාපාරික මූලයක් ගැටලුවකි. නැංගුරම පුළුල් වන තරමට දාම පරීක්ෂණය සමත් වන සහතික වැඩි වේ, සහ භූමිකා පරීක්ෂාව එය බලයලත් කාර්ය මණ්ඩල ලැයිස්තුවක් බවට පත් නොකරයි. ධුරාවලිය ඉඩ දෙන තැන නැංගුරම සැබවින්ම VPN අනන්‍යතාවලට අත්සන් කරන නිකුත් කරන්නා දක්වා පටු කරන්න. ඉඩ නොදෙන්නේ නම්, පුළුල් නැංගුරම ව්‍යංගව තැබීම වෙනුවට හිතාමතා පිළිගත් අවදානමක් ලෙස ලේඛනගත කරන්න.

අලුත් කිරීම සහ අවලංගු කිරීම VPN සත්‍යාපකයන් වෙත ළඟා වන්නේ කෙසේද, කුමන නිකුත් කරන්නන් වැදගත්ද සහ ලැයිස්තුව ප්‍රකාශයට පත් කරන්නේ කවුද යන්න ඇතුළුව PKI කණ්ඩායම සමඟ එකඟ වන්න. සහතිකයක කාවැද්දූ CRL බෙදාහැරීමේ ලක්ෂ්‍යයක් යනු උපදෙසකි, යමක් එය ලබාගත් බවට සාක්ෂියක් නොවේ.

අවලංගු කිරීම සැබවින්ම පැමිණෙන්නේ කෙසේද යන්න තීරණය කරන්න

crl-verify සත්‍යාපකයා ගොනුවක් හෝ අන්ත ලක්ෂ්‍යයක් උපදෙස් ගැනීමට යොමු කරයි, සහ එම විධිවිධානයට හිමිකරුවෙකු සහ නැවුම් කිරීමේ මාර්ගයක් අවශ්‍යයි. යෙදවීමේදී එක් වරක් පිටපත් කළ ලැයිස්තුවක් සහතිකයක් පළමු වරට අවලංගු කළ විට නිශ්ශබ්දව ඔබ ආරක්ෂා කිරීම නවත්වයි.

අපේක්ෂිත ව්‍යාප්ති කාලය ලියා තබා, අවලංගු කිරීමට ඔබ සූදානම් සහතිකයක් සමඟ එය පරීක්ෂා කරන්න. ලැයිස්තුව VPN සත්කාරකයේ නැවුම් කළ නොහැකි නම්, විකල්පය වන්නේ කෙටි වලංගු කාලයක් සහ සැබවින්ම ක්‍රියාත්මක වන අලුත් කිරීමේ ක්‍රියාවලියකි, URL එකක් ඇති නිසා අවලංගු කිරීම ක්‍රියා කරයි යන උපකල්පනය නොවේ.

සැබෑ පාරිභෝගිකයෙකු සමඟ පිළිගැනීම ඔප්පු කරන්න

අවසර ලැබිය යුතු පාරිභෝගිකයෙකු සම්බන්ධ කර, ලොගයේ සාකච්ඡා කළ සහතික විස්තර තහවුරු කරන්න. ඉන්පසු අසාර්ථක විය යුතු අවස්ථා උත්සාහ කරන්න: සේවාදායකයක් ලෙස ඉදිරිපත් කළ පාරිභෝගික සහතිකයක්, විශ්වාස නැංගුරමෙන් පිටත නිකුත් කරන්නෙකුගේ සහතිකයක්, සහ අමතරව ඇත්නම් අවලංගු කළ සහතිකයක්.

පිළිගත් නිකුත් කරන්නා, භූමිකා පරීක්ෂාව සහ අවලංගු කිරීමේ මූලාශ්‍රය පැතිකඩ අසල සටහන් කරන්න. පසුගිය මාසයේ ක්‍රියා කළ උපාංගයක් සම්බන්ධ වීම නවත්වන විට ඊළඟ ඉංජිනේරුවාට අවශ්‍ය වන්නේ එම වාර්තාවයි, සහ ව්‍යාපාරික CA සාමාන්‍ය අරමුණු සහිත විශ්වාස ගොඩක් ලෙස නොව ලේඛනගත පිළිගැනීම් සීමාව තුළ භාවිත වන බවට සාක්ෂියද එයයි.