Potrebujete Easy-RSA za OpenVPN? Odvisno od tega, kdo ima CA

Vodnik pravi, da pred nastavitvijo OpenVPN namestite Easy-RSA, zato ljudje domnevajo, da gre za en paket. Ne gre. Easy-RSA je orodje za upravljanje PKI, ki poganja OpenSSL; OpenVPN je tunel. Eno odloča, komu zaupati, drugo prenaša pakete.

Pomembna primerjava ni, katero orodje je boljše. Temveč, kdo v vaši organizaciji ima izdajatelja.

Kaj Easy-RSA v resnici je

Projekt se opisuje kot orodje za upravljanje PKI X.509, pri čemer kriptografsko delo opravi OpenSSL. To pomeni, da ovije ustvarjanje ključev, zahteve za certifikate, politiko podpisovanja in preklic v ponovljivo strukturo map. Ne doda plasti šifriranja obstoječemu tunelu in ne naredi RSA močnejšega od istega ključa, ki ga ustvari drugo usposobljeno orodje. Kar naredi, je, da delovni tok postane pregleden.

To je resnična korist, a operativna in ne kriptografska.

Sledite enemu prenosniku skozi registracijo

Nov prenosnik ustvari svoj ključ in pošlje zahtevo za certifikat, zato zasebni ključ nikoli ne zapusti naprave. Izdajatelj nato zahtevo podpiše z vrsto, ki izbere prave razširitve za vlogo odjemalca. V Easy-RSA je to ./easyrsa sign-req client laptop-a.

Operater se mora še vedno odločiti, da si ta oseba zasluži dostop. Nobeno orodje za podpisovanje ne izpelje pravice iz običajnega imena.

Podpisani certifikat se vrne na napravo, ki hrani ustrezni ključ, uvajanje VPN pa ločeno zagotavlja zaupanje v strežnik, preverjanja identitete, omrežno politiko in zahteve računa. Datoteka v izhodni mapi izdajatelja ničesar od tega ne dokazuje. Samo dokončan stisk roke to stori.

Sledite istemu prenosniku ob odhodu

Prav pri odstranitvi se izbira izdajatelja res pokaže. Uporaben delovni tok prepozna certifikat, zabeleži preklic in ustvari tisto, kar sistemi, ki se nanj zanašajo, potrebujejo za zavrnitev. Easy-RSA ločuje ./easyrsa revoke laptop-a od ./easyrsa gen-crl, druga stopnja pa je tista, ki jo ljudje pozabijo. Ustvarjanje CRL pri izdajatelju ga ne dostavi nobenemu preverjevalniku VPN.

Distribucija, vedenje ob ponovnem nalaganju in kaj se zgodi z že vzpostavljenimi sejami, so odločitve uvajanja, ne funkcije orodja.

Ta vrzel je praktični argument za uveljavljen delovni tok pred kopico priložnostnih ukazov openssl. Težki del upravljanja izdajatelja ni prvi certifikat. To je ohranjanje skladnosti evidenc izdajanja, varnostnih kopij, podaljšanj in odstranitev, medtem ko naprave prihajajo in odhajajo.

Ko izdajatelj že obstaja

Če vaša organizacija že upravlja odobreno storitev certifikatov, se registrirajte prek nje. Postavljanje druge CA zato, ker je vodnik vseboval ukaze Easy-RSA, ustvari delo z distribucijo zaupanja, delo z varnostnimi kopijami in še eno stvar, ki jo je treba pravilno preklicati.

Lokalni izdajatelj je zaveza k upravljanju CA, ne potrditveno polje v navodilih za namestitev.

Kdaj je Easy-RSA prava izbira

Za majhno zasebno uvedbo, ki resnično potrebuje svojega izdajatelja, Easy-RSA ponuja osredotočen delovni tok brez ročnega sestavljanja vsake operacije. izvirni vodnik Easy-RSA po vrsti pokriva korake zahteve, podpisa, preklica in CRL. Podpisno gradivo CA hranite pri njegovem imenovanem lastniku; odjemalci potrebujejo svoje poverilnice in ustrezno javno zaupanje, nikoli kopije podpisnega ključa.

Zasnova OpenVPN na osnovi PIN je druga zakonita ureditev zaupanja, ne pokvarjena PKI, ki čaka na popravilo. In prijava v račun ne odpravi potrebe po preverjanju strežnika po protokolu, ki ste ga izbrali.

Pred izbiro odgovorite na štiri vprašanja: kdo odobri novo identiteto, kje živi njen zasebni ključ, kako certifikat prispe do odjemalca in kako upokojena identiteta ni več sprejeta.