Uporabite obstoječi podjetniški CA za partnerje OpenVPN

Nič v OpenVPN ne zahteva, da certifikat prihaja iz Easy-RSA, in flota, ki že ima organizacijsko PKI, običajno ne bi smela zgraditi druge. Pravo delo ni izbira orodja, ampak odločitev, kaj pomenijo izdane identitete, katere partnerje tunel sprejme in kako obnova in preklic prideta do preverjevalca. Pojdite skozi pet korakov spodaj po vrstnem redu, ker poznejši korak ne more popraviti odločitve o vlogi, sprejete v prvem.

Izdajte dve vlogi namesto ene skupne identitete

Vsak partner potrebuje lasten certifikat in ustrezni zasebni ključ. Prosite ekipo PKI za identiteto strežnika z uporabo strežnika in ločene identitete odjemalcev z uporabo odjemalca, da lahko tunel med rokovanjem razlikuje oba.

Uprite se bližnjicam, ki se pojavijo pod pritiskom rokov. Kopiran ključ spletnega strežnika na prenosnike izbriše razliko, na kateri temelji preverjanje vloge, in podpisni ključ CA, nameščen na končni točki VPN, spremeni en ogrožen gostitelj v ogroženo hierarhijo. Paket PKCS12 lahko nosi ključ končne točke in njegovo verigo, vendar nikoli ne dovoli ponovne uporabe te identitete v drugi vlogi.

Povežite vhode zaupanja na vsaki strani

Odjemalec in strežnik potrebujeta vsak svoje sidro zaupanja, lastno identiteto in izrecno pričakovanje vloge. Odlomek odjemalca, ki navaja vse tri, izgleda tako.

client
ca /etc/openvpn/pki/issuing-root.pem
cert /etc/openvpn/pki/device-17.crt
key /etc/openvpn/pki/device-17.key
remote-cert-tls server
verify-x509-name vpn.corp.example name
crl-verify /etc/openvpn/pki/issuing.crl

Stran strežnika to zrcali z remote-cert-tls client in lastnim certifikatom, in prav to preprečuje, da bi bil odjemalčev certifikat sprejet kot strežnik. Preverjanje imena je odločitev, ločena od preverjanja vloge. Preberite nameščeno konfiguracijo, da vidite, katero polje se primerja, namesto da bi predpostavili ujemanje imena gostitelja v slogu brskalnika. Obe strani bi morali tudi izrecno navesti, kateremu izdajatelju zaupata, ker skupna pot do datoteke v floti ni isto kot skupna politika.

Dostavite vmesne certifikate, ne da bi razširili zaupanje

Dve strani si ne morata deliti ene izdajne verige. Ko partner predstavi certifikat, ki ga je podpisal vmesni, preverjajoča stran potrebuje ta vmesni certifikat na voljo, in OpenVPN razlikuje vhod sidra zaupanja od dodatnih certifikatov, uporabljenih za dokončanje lokalno predstavljene verige. Referenca možnosti TLS za OpenVPN 2.6 dokumentira oboje.

Vmesni CA sam po sebi ni problem, ampak široka podjetniška korenina, vržena v sveženj zaupanja, je. Širše kot je sidro, več certifikatov prestane test verige, in preverjanje vloge tega ne spremeni v seznam pooblaščenih zaposlenih. Zožite sidro na izdajatelja, ki dejansko podpisuje identitete VPN, kjer hierarhija to dopušča. Če ne, dokumentirajte širše sidro kot namerno sprejeto tveganje, namesto da bi ga pustili implicitnega.

Dogovorite se z ekipo PKI, kako obnova in preklic prideta do preverjevalcev VPN, vključno s tem, kateri izdajatelji so pomembni in kdo objavi seznam. Točka distribucije CRL, vgrajena v certifikat, je navodilo, ne dokaz, da jo je nekaj preneslo.

Odločite, kako preklic dejansko prispe

crl-verify prisili preverjevalca, da pregleda datoteko ali končno točko, in ta ureditev potrebuje lastnika in pot osvežitve. Seznam, kopiran enkrat med uvajanjem, tiho preneha varovati, ko je certifikat prvič preklican.

Zapišite pričakovani čas širjenja in ga preizkusite s certifikatom, ki ste ga pripravljeni preklicati. Če seznama ni mogoče osvežiti na gostitelju VPN, je alternativa krajše obdobje veljavnosti plus postopek obnove, ki resnično teče, ne pa predpostavka, da preklic deluje, ker obstaja URL.

Dokažite sprejem z resničnim odjemalcem

Povežite odjemalca, ki bi mu moralo biti dovoljeno, in v dnevniku potrdite dogovorjene podrobnosti certifikata. Nato preizkusite primere, ki morajo spodleteti: certifikat odjemalca, predstavljen kot strežnik, certifikat izdajatelja zunaj sidra zaupanja in preklican certifikat, če vam je eden ostal.

Zabeležite sprejetega izdajatelja, preverjanje vloge in vir preklica ob profilu. Ta zapis je tisto, kar potrebuje naslednji inženir, ko naprava, ki je delovala prejšnji mesec, preneha se povezovati, in je tudi dokaz, da se podjetniški CA uporablja znotraj dokumentirane meje sprejema, ne pa kot odlagališče zaupanja splošnega namena.