Isticmaal CA-da shirkadda ee jira ee asxaabta OpenVPN

Ma jiro wax ku jira OpenVPN oo u baahan in shahaadadu ka timaaddo Easy-RSA, iyo koox haysata PKI urureed horeyba waa in aanay inta badan dhisin mid labaad. Shaqada dhabta ah ma aha doorashada qalab, laakiin go'aaminta waxa ay ka dhigan yihiin aqoonsiga la soo saaray, asxaabta tunnellu aqbalo, iyo sida cusboonaysiinta iyo baabi'inta ay u gaaraan xaqiijiyaha. Dhex mar shanta tallaabo ee hoose si kala horreyn ah, sababtoo ah tallaabo dambe ma hagaajin karto go'aan door oo la qaatay tii u horraysay.

Soo saar laba door halkii aqoonsi la wadaago

Asxaab kastaa waxay u baahan tahay shahaadadeeda iyo furaha gaarka ah ee u dhigma. Weydii kooxda PKI aqoonsi server leh isticmaalka server iyo aqoonsiyo macmiil oo gaar ah oo leh isticmaalka macmiil, si tunnellu u kala garato labada inta gacan-qaadista.

Ka hortag waddooyinka gaagaaban ee soo baxa cadaadiska waqtiga. Furaha server-ka web oo lagu koobiyeeyo laptop-yada wuxuu tirtiraa farqiga uu ku tiirsan yahay hubinta doorka, furaha saxeexa CA oo lagu rakibay barta dambe ee VPN wuxuu ka dhigaa hal marti-geliye la dhaawacay hierariki la dhaawacay. Xirmada PKCS12 waxay qaadan kartaa furaha barta dambe iyo silsiladdiisa, laakiin waligeed ma bixiso fasax lagu isticmaalo aqoonsigaas door kale.

Ku xidh galitaannada kalsoonida dhinac kasta

Macmiilka iyo server-ku mid kastaa wuxuu u baahan yahay bar-kalsooni, aqoonsigiisa iyo filasho door oo cad. Qaybta macmiilka ee sheegta saddexda waxay u muuqataa sidan.

client
ca /etc/openvpn/pki/issuing-root.pem
cert /etc/openvpn/pki/device-17.crt
key /etc/openvpn/pki/device-17.key
remote-cert-tls server
verify-x509-name vpn.corp.example name
crl-verify /etc/openvpn/pki/issuing.crl

Dhinaca server-ku wuxuu ku milicsadaa remote-cert-tls client iyo shahaadadiisa, taasina waa waxa ka hortagaya in shahaadada macmiilka loo aqbalo server. Hubinta magaca waa go'aan ka duwan hubinta doorka. Akhri habaynta la dhaqan geliyay si aad u aragto goobta la barbardhigo halkii aad ka malayn lahayd isku-dhac magac marti-geliye oo qaab browser ah. Labada dhinac waa inay sidoo kale caddeeyaan soo-saaraha ay ku kalsoon yihiin, sababtoo ah waddada faylka la wadaago ee kooxda oo dhan ma aha isla wax la mid ah siyaasad la wadaago.

Gaarsiiso shahaadooyinka dhexe adigoon ballaarin kalsoonida

Labada dhinac ma behaan inay wadaagaan hal silsilad soo-saarid. Marka asxaabtu soo bandhigto shahaado uu saxeexay dhexe, dhinaca xaqiijinaya wuxuu u baahan yahay dhexe taas oo diyaar ah, iyo OpenVPN waxay kala soocdaa galitaanka bar-kalsoonida shahaadooyinka dheeraadka ah ee loo isticmaalo dhammaystirka silsilad maxalli ah loo soo bandhigay. Tixraaca xulashooyinka TLS ee OpenVPN 2.6 wuxuu diiwaangeliyaa labadaba.

CA dhexe lafteedu ma aha dhibaato, laakiin xidid shirkadeed ballaaran oo lagu tuuray xirmada kalsoonida waa dhibaato. Inta bar-kalsoonidu ballaaran tahay, ayaa shahaadooyin badan ka gudbaan imtixaanka silsiladda, hubinta doorkuna taas kama dhigto liis shaqaale loo fasaxay. Cidhiidhi bar-kalsoonida ilaa soo-saaraha runtii saxeexa aqoonsiyada VPN halka hierarkigu u ogolaado. Haddii aanay u ogolayn, diiwaangeli bar-kalsoonida ballaaran sida khatar si ula kac ah loo aqbalay halkii aad ka tagi lahayd mid aan caddayn.

La heshii kooxda PKI sida cusboonaysiinta iyo baabi'inta ay u gaaraan xaqiijiyayaasha VPN, oo ay ku jiraan soo-saarayaasha muhiimka ah iyo cidda daabacda liiska. Qodobka qaybinta CRL ee ku dhex jira shahaado waa tilmaan, ma aha caddayn in wax u soo qaateen.

Go'aami sida baabi'intu runtii u timaaddo

crl-verify wuxuu xaqiijiyaha ka dhigaa inuu la tashado fayl ama barta dambe, nidaamkaasna wuxuu u baahan yahay milkiile iyo waddo cusboonaysiin. Liis hal mar lagu koobiyeeyay inta lagu guda jiro daabacaadda ayaa si aamusan u joojisa inay ku ilaaliso marka ugu horreysa ee shahaado la baabi'iyo.

Qor waqtiga faafinta la filayo oo ku tijaabi shahaado aad diyaar u tahay inaad baabi'iso. Haddii liiska aan laga cusboonaysiin karin marti-geliyaha VPN, beddelka waa muddo ansasho gaaban oo lagu daray hannaan cusboonaysiin oo runtii shaqeeya, ma aha malayn in baabi'intu shaqeyso sababtoo ah URL ayaa jira.

Ku caddee aqbalaadda macmiil dhab ah

Ku xidh macmiil ay tahay in la oggolaado oo xaqiiji faahfaahinta shahaadada la wada hadlay ee log-ka. Kadib tijaabi kiisaska ay tahay inay guuldarraystaan: shahaado macmiil oo loo soo bandhigay server, shahaado ka timid soo-saare ka baxsan bar-kalsoonida, iyo shahaado la baabi'iyay haddii aad haysato mid dheeraad ah.

Diiwaangeli soo-saaraha la aqbalay, hubinta doorka iyo isha baabi'inta agagaarka profile-ka. Diiwaankaas ayaa ah waxa injineerka xiga u baahan doono marka qalab shaqeynayay bishii hore joojiyo isku xirka, waana sidoo kale caddaynta in CA-da shirkadda loo isticmaalo gudaha xad aqbalaad oo diiwaangashan halkii loo isticmaali lahaa meel lagu tuuro kalsoonida guud.