Použite svoju existujúcu podnikovú CA pre peerov OpenVPN

Nič v OpenVPN nevyžaduje, aby certifikát pochádzal z Easy-RSA, a flotila, ktorá už má organizačnú PKI, by zvyčajne nemala stavať druhú. Skutočná práca nie je výber nástroja, ale rozhodnutie, čo znamenajú vydané identity, ktorých peerov tunel prijíma a ako sa obnova a odvolanie dostanú k overovateľovi. Prejdite päť krokov nižšie v poradí, pretože neskorší krok nemôže napraviť rozhodnutie o role prijaté v prvom.

Vydajte dve roly namiesto jednej spoločnej identity

Každý peer potrebuje vlastný certifikát a zodpovedajúci súkromný kľúč. Požiadajte tím PKI o identitu servera s použitím servera a samostatné identity klientov s použitím klienta, aby tunel pri handshaku rozlíšil obe.

Odolajte skratkám, ktoré sa objavujú pod tlakom termínov. Skopírovaný kľúč webového servera na notebooky vymaže rozdiel, na ktorom závisí kontrola roly, a podpisový kľúč CA nainštalovaný na koncovom bode VPN premení jeden kompromitovaný host na kompromitovanú hierarchiu. Balík PKCS12 môže niesť kľúč koncového bodu a jeho reťaz, ale nikdy nedáva povolenie znovu použiť túto identitu v inej role.

Zapojte vstupy dôvery na každej strane

Klient a server potrebujú každý svoj koreň dôvery, vlastnú identitu a výslovné očakávanie roly. Fragment klienta, ktorý uvádza všetky tri, vyzerá takto.

client
ca /etc/openvpn/pki/issuing-root.pem
cert /etc/openvpn/pki/device-17.crt
key /etc/openvpn/pki/device-17.key
remote-cert-tls server
verify-x509-name vpn.corp.example name
crl-verify /etc/openvpn/pki/issuing.crl

Strana servera to zrkadlí pomocou remote-cert-tls client a vlastného certifikátu, a práve to bráni tomu, aby bol klientský certifikát prijatý ako server. Kontrola názvu je samostatné rozhodnutie od kontroly roly. Prečítajte si nasadenú konfiguráciu, aby ste videli, ktoré pole sa porovnáva, namiesto predpokladu zhody názvu hostiteľa v štýle prehliadača. Obe strany by tiež mali výslovne uviesť, ktorému vydavateľovi dôverujú, pretože spoločná cesta k súboru naprieč flotilou nie je to isté ako spoločná politika.

Doručujte sprostredkujúce certifikáty bez rozširovania dôvery

Obe strany nemusia zdieľať jeden vydavateľský reťaz. Keď peer predloží certifikát podpísaný sprostredkujúcim certifikátom, overujúca strana potrebuje tento sprostredkujúci certifikát k dispozícii, a OpenVPN rozlišuje vstup koreňa dôvery od dodatočných certifikátov použitých na dokončenie lokálne predloženého reťazca. Referencia možností TLS pre OpenVPN 2.6 dokumentuje oboje.

Sprostredkujúca CA nie je sama osebe problém, ale široký podnikový koreň vhodený do zväzku dôvery je. Čím širší je koreň, tým viac certifikátov prejde testom reťazca, a kontrola roly z toho neurobí zoznam oprávnených zamestnancov. Zúžte koreň na vydavateľa, ktorý skutočne podpisuje identity VPN, kde to hierarchia dovoľuje. Ak nie, zdokumentujte širší koreň ako vedome prijaté riziko, namiesto toho, aby ste ho nechali implicitný.

Dohodnite sa s tímom PKI, ako sa obnova a odvolanie dostanú k overovateľom VPN, vrátane toho, ktorí vydavatelia sú dôležití a kto zverejňuje zoznam. Distribučný bod CRL vložený do certifikátu je pokyn, nie dôkaz, že ho niečo stiahlo.

Rozhodnite, ako odvolanie skutočne dorazí

crl-verify núti overovateľa nahliadnuť do súboru alebo koncového bodu, a toto usporiadanie potrebuje vlastníka a cestu obnovy. Zoznam skopírovaný raz pri nasadení potichu prestane chrániť pri prvom odvolaní certifikátu.

Zapíšte očakávaný čas šírenia a otestujte ho certifikátom, ktorý ste ochotní odvolať. Ak sa zoznam nedá obnoviť na hostiteľovi VPN, alternatívou je kratšia doba platnosti plus proces obnovy, ktorý skutočne beží, nie predpoklad, že odvolanie funguje, pretože existuje URL.

Dokážte prijatie skutočným klientom

Pripojte klienta, ktorému má byť povolené pripojenie, a potvrďte dohodnuté podrobnosti certifikátu v protokole. Potom vyskúšajte prípady, ktoré musia zlyhať: klientský certifikát predložený ako server, certifikát od vydavateľa mimo koreňa dôvery a odvolaný certifikát, ak máte jeden navyše.

Zaznamenajte prijatého vydavateľa, kontrolu roly a zdroj odvolania vedľa profilu. Tento záznam je to, čo bude potrebovať ďalší inžinier, keď zariadenie, ktoré minulý mesiac fungovalo, prestane sa pripájať, a je to aj dôkaz, že podniková CA sa používa v rámci zdokumentovanej hranice prijatia, a nie ako univerzálne úložisko dôvery.