Pridanie klienta VPN bez prestavby CA

Potrebujete ďalší certifikát pre ďalší notebook, ale prvý návod vo výsledkoch začína príkazom, ktorý vymaže adresár PKI. Ten príkaz patrí k prvému nastaveniu, nie k registrácii, a jeho spustenie vás stojí CA, históriu vydávania a každý klientsky profil, ktorý dôveroval starému vydavateľovi. Rozhodnutie je užšie: má vydavateľ ešte použiteľný stav a zapadá nové zariadenie do vašej registračnej politiky? Rozhodujú tri podmienky a len jedna ospravedlňuje prestavbu.

Čo prestavba naozaj zničí

Reinicializácia PKI nahradí adresár prázdnou štruktúrou: nový kľúč a certifikát CA, prázdna databáza vydávania, nový počítadlo sérií. Klienti nenasledujú sami; ich profily pripínajú starú CA, takže každé zariadenie sa musí znova zaregistrovať a nedostupné ručne.

Tichšou stratou je evidencia. Odvolanie závisí od toho, či viete, ktoré sériové čísla ste komu vydali. Vymažte index a stále môžete podpisovať, ale už s istotou nepoviete, ktoré z vydaných certifikátov ste chceli odvolať. Adresár CA s certifikátmi bez zodpovedajúceho stavu vydavateľa je záloha, ktorá obnoví nesprávnu polovicu systému.

Kopírovanie súkromného kľúča CA vedľa bežiaceho servera je druhá skratka, ktorú treba odmietnuť: mení podpisovú autoritu, ktorá má stáť mimo siete, na ďalší súbor na hoste s nedôveryhodnou prevádzkou.

Prvá podmienka: je stav vydavateľa ešte dostupný

Pred rozhodnutím nájdite adresár, ktorému server skutočne dôveruje. Porovnajte certifikát, ktorý server predkladá ako CA, s tým v adresári PKI podľa odtlačku, nie podľa názvu súboru:

openssl x509 -in ca.crt -noout -fingerprint -sha256
openssl x509 -in /etc/openvpn/ca.crt -noout -fingerprint -sha256

Ak sa odtlačky zhodujú, registrácia je prírastková a nič neprestavujte. Ak sa líšia, podpisujete CA, ktorej server nedôveruje: certifikát sa nainštaluje čisto a zlyhá pri handshake, a táto chyba sa hodiny nesprávne diagnostikuje ako chyba klienta.

Potom hľadajte stav vydávania: index, počítadlo sérií a súbor čísla CRL. Ak index chýba, ale kľúč existuje, môžete vydávať, ale dedíte problém so zaznamenávaním odvolaní. Zapíšte to do záznamu zmien, pretože ďalšia žiadosť o odvolanie to odhalí.

Druhá podmienka: kto drží nový súkromný kľúč

To je rozhodnutie, ktoré používatelia cítia, preto ho urobte výslovne. Kľúč vytvorený na klientovi a podaný ako žiadosť ponecháva súkromnú polovicu na zariadení od prvého príkazu a správca sa jej nikdy nedotkne. Kľúč vytvorený na serveri je jednoduchší pre zariadenia bez nástrojov, ale robí správcu strážcom každého kľúča a rozširuje dopad kompromitácie servera.

S Easy-RSA 3 proti existujúcej CA sú import a podpis žiadosti dva príkazy:

./easyrsa import-req /tmp/alice.req alice
./easyrsa sign-req client alice

Vyberte typ certifikátu vedome. Žiadosť podpísaná ako serverový namiesto klientskeho certifikátu dá súbor, ktorý vyzerá dobre a partner ho odmietne, a chybová správa zriedka povie prečo. Pri openssl ca žije rovnaká voľba v rozšíreniach, ktoré odovzdáte, nie v predvolenej sekcii.

Tretia podmienka: potrebuje server viac než certifikát

Pre bežný server OpenVPN s autentifikáciou certifikátom je certifikát sám registráciou: bežné meno sa stáva identitou klienta a adresár, tlačená trasa či statická adresa závisia od toho mena. Pridajte certifikát a zabudnite konfiguráciu, tunel sa spojí, ale potrebné trasy sa neobjavia.

Platformy to menia. OpenVPN Access Server má vlastnú databázu používateľov, takže podpísaný certifikát nie je účet; účet musí existovať a byť povolený. Iné brány priraďujú reťazec identity k skupine. Registrácia jedného zariadenia zvyčajne zasahuje dva systémy a certifikát je len prvý.

Prírastkový postup a kedy je prestavba správna

Postup, ktorý pridá zariadenie bez škôd: overte vydavateľa podľa odtlačku, urobte čerstvú zálohu adresára PKI, importujte a podpíšte žiadosť pre klientsku rolu, doručte certifikát s reťazcom schváleným kanálom a pred pripojením overte:

openssl verify -CAfile ca.crt alice.crt
openssl x509 -in alice.crt -noout -subject -issuer -dates -purpose

Riadok účelu má ukázať SSL client. Skončite aktualizáciou zálohy CA po vydaní, pretože záloha pred zaznamenaním novej série obnoví stav bez práve pridaného zariadenia.

Prestavba je správna v troch prípadoch: kľúč CA je kompromitovaný, stav vydávania je nenávratne stratený alebo vedome meníte algoritmus či politiku. Všetky tri sú projekty s plánom opätovnej registrácie každého klienta, nie kroky v žiadosti o jedno zariadenie. Ak nič neplatí, registrujte prírastkovo.