Dodajanje odjemalca VPN brez ponovne gradnje CA

Potrebujete še eno potrdilo za še en prenosnik, a prvi priročnik v rezultatih iskanja se začne z ukazom, ki izbriše mapo PKI. Ta ukaz sodi k prvi nastavitvi, ne k registraciji, in njegovo izvajanje vas stane CA, zgodovino izdajanja in vsak odjemalski profil, ki je zaupal staremu izdajatelju. Odločitev je ožja: ima izdajatelj še uporabno stanje in ali se nova naprava ujema z vašo politiko registracije? Odločajo trije pogoji in le eden upravičuje ponovno gradnjo.

Kaj ponovna gradnja v resnici uniči

Ponovna inicializacija PKI zamenja mapo s prazno strukturo: novim ključem in potrdilom CA, prazno bazo izdajanja, novim števcem serij. Odjemalci ne sledijo sami; njihovi profili pripnejo staro CA, zato je treba vsako napravo znova registrirati, nedosegljive pa ročno.

Tišja izguba je evidenca. Preklic je odvisen od tega, ali veste, katere serijske številke ste komu izdali. Izbrišite indeks in še vedno lahko podpisujete, ne morete pa z gotovostjo reči, katere od izdanih potrdil ste hoteli preklicati. Mapa CA s potrdili brez ustreznega stanja izdajatelja je varnostna kopija, ki obnovi napačno polovico sistema.

Kopiranje zasebnega ključa CA ob delujočem strežniku je druga bližnjica, ki jo velja zavrniti: podpisno oblast, ki bi morala stati zunaj omrežja, spremeni v še eno datoteko na gostitelju z nezanesljivim prometom.

Prvi pogoj: je stanje izdajatelja še dosegljivo

Pred odločitvijo poiščite mapo, ki ji strežnik res zaupa. Primerjajte potrdilo, ki ga strežnik predstavi kot CA, s tistim v mapi PKI po odtisu prstnega odtisa, ne po imenu datoteke:

openssl x509 -in ca.crt -noout -fingerprint -sha256
openssl x509 -in /etc/openvpn/ca.crt -noout -fingerprint -sha256

Če se odtisa ujemata, je registracija prirastna in ničesar ne gradite znova. Če se razlikujeta, podpisujete s CA, ki ji strežnik ne zaupa: potrdilo se namesti čisto in spodleti pri rokovanju, ta napaka pa se ure dolgo napačno diagnosticira kot napaka odjemalca.

Nato poiščite stanje izdajanja: indeksno datoteko, števec serij in datoteko številke CRL. Če indeksa ni, ključ pa je, lahko izdajate, a podedujete težavo z zapisovanjem preklicev. Zapišite to v dnevnik sprememb, ker bo naslednja zahteva za preklic to razkrila.

Drugi pogoj: kdo ima novi zasebni ključ

To je odločitev, ki jo uporabniki občutijo, zato jo sprejmite izrecno. Ključ, ustvarjen pri odjemalcu in predložen kot zahteva, obdrži zasebno polovico v napravi od prvega ukaza in se ga skrbnik nikoli ne dotakne. Ključ, ustvarjen na strežniku, je lažji za naprave brez orodij, a skrbnika naredi varuha vsakega ključa in poveča učinek vdora v strežnik.

Z Easy-RSA 3 proti obstoječi CA sta uvoz in podpis zahteve dva ukaza:

./easyrsa import-req /tmp/alice.req alice
./easyrsa sign-req client alice

Izberite vrsto potrdila namerno. Zahteva, podpisana kot strežniško namesto odjemalskega potrdila, da datoteko, ki je videti v redu, a jo partner zavrne, sporočilo o napaki pa le redko pove zakaj. Pri openssl ca ista izbira živi v razširitvah, ki jih posredujete, ne v privzetem razdelku.

Tretji pogoj: potrebuje strežnik več kot potrdilo

Za običajen OpenVPN strežnik s preverjanjem potrdil je potrdilo sama registracija: skupno ime postane identiteta odjemalca, vsaka mapa, potisnjena pot ali statični naslov pa so vezani na to ime. Dodajte potrdilo in pozabite konfiguracijo, tunel se poveže, a potrebne poti se ne pojavijo.

Platforme to spreminjajo. OpenVPN Access Server ima svojo bazo uporabnikov, zato podpisano potrdilo ni račun; račun mora obstajati in biti dovoljen. Druga prehodna vrata povežejo niz identitete s skupino. Registracija ene naprave običajno poseže v dva sistema in potrdilo je le prvo.

Prirastni postopek in kdaj je ponovna gradnja prava

Zaporedje, ki doda napravo brez škode: potrdite izdajatelja po odtisu, vzemite svežo kopijo mape PKI, uvozite in podpišite zahtevo za odjemalsko vlogo, dostavite potrdilo z verigo po odobrenem kanalu in preverite pred povezavo uporabnika:

openssl verify -CAfile ca.crt alice.crt
openssl x509 -in alice.crt -noout -subject -issuer -dates -purpose

Vrstica namena mora prikazati SSL client. Končajte s posodobitvijo kopije CA po izdaji, ker kopija, narejena pred zapisom nove serije, obnovi stanje brez pravkar dodane naprave.

Ponovna gradnja je prava v treh primerih: ključ CA je ogrožen, stanje izdajanja je nepovratno izgubljeno ali namerno spreminjate algoritem ključa oziroma politiko potrdil. Vsi trije so projekti z načrtom ponovne registracije vsakega odjemalca, ne koraki v zahtevi za eno napravo. Če ne velja noben, registrirajte prirastno in pustite izdajatelja pri miru.