Ju nevojitet Easy-RSA për OpenVPN? Varet se kush e zotëron CA-në

Një tutorial thotë ta instaloni Easy-RSA përpara se të konfiguroni OpenVPN, kështu që njerëzit mendojnë se të dyja janë një paketë. Nuk janë. Easy-RSA është një mjet administrimi PKI që drejton OpenSSL; OpenVPN është tuneli. Njëri vendos kujt t'i besohet, tjetri lëviz paketat.

Krahasimi që ka rëndësi nuk është cili mjet është më i mirë. Por kush e zotëron lëshuesin në organizatën tuaj.

Çfarë është në të vërtetë Easy-RSA

Projekti e përshkruan veten si një mjet administrimi PKI X.509, ku OpenSSL bën punën kriptografike. Kjo do të thotë se ai i mbështjell gjenerimin e çelësave, kërkesat për certifikata, politikën e nënshkrimit dhe revokimin në një strukturë dosjesh të përsëritshme. Ai nuk shton një shtresë kriptimi në një tunel ekzistues dhe nuk e bën RSA më të fortë se i njëjti çelës i prodhuar nga një mjet tjetër kompetent. Ajo që bën është ta bëjë rrjedhën e punës të auditueshme.

Ky është një përfitim real, por operativ dhe jo kriptografik.

Ndiqni një laptop gjatë regjistrimit

Një laptop i ri gjeneron çelësin e vet dhe dërgon një kërkesë për certifikatë, kështu që çelësi privat nuk largohet kurrë nga pajisja. Lëshuesi më pas e nënshkruan atë kërkesë me një lloj që zgjedh zgjerimet e duhura për një rol klienti. Në Easy-RSA kjo është ./easyrsa sign-req client laptop-a.

Operatori duhet ende të vendosë se kjo person meriton akses. Asnjë mjet nënshkrimi nuk nxjerr të drejtë nga një emër i përbashkët.

Certifikata e nënshkruar kthehet te pajisja që mban çelësin përkatës, dhe vendosja e VPN-së siguron veçmas besimin te serveri, kontrollet e identitetit, politikën e rrjetit dhe kërkesat e llogarisë. Një skedar në direktorinë e daljes së lëshuesit nuk provon asgjë nga këto. Vetëm një shtrëngim duar i përfunduar e bën këtë.

Ndiqni të njëjtin laptop në dalje

Heqja është vendi ku zgjedhja e lëshuesit shihet vërtet. Një rrjedhë pune e përdorshme identifikon certifikatën, regjistron revokimin dhe prodhon atë që sistemet që mbështeten tek ajo kanë nevojë për ta refuzuar. Easy-RSA ndan ./easyrsa revoke laptop-a nga ./easyrsa gen-crl, dhe hapi i dytë është ai që njerëzit harrojnë. Gjenerimi i një CRL te lëshuesi nuk ia dorëzon atë asnjë verifikuesi VPN.

Shpërndarja, sjellja në ringarkim dhe çfarë ndodh me sesionet e vendosura tashmë janë vendime vendosjeje, jo funksione të mjetit.

Ajo hendek është argumenti praktik për një rrjedhë pune të konsoliduar kundrejt një grumbulli komandash openssl ad hoc. Pjesa e vështirë e drejtimit të një lëshuesi nuk është certifikata e parë. Është mbajtja koherente e regjistrave të lëshimit, kopjeve rezervë, rinovimeve dhe heqjeve ndërsa pajisjet vijnë dhe shkojnë.

Kur ekziston tashmë një lëshues

Nëse organizata juaj drejton tashmë një shërbim certifikatash të miratuar, regjistrohuni përmes tij. Ndërtimi i një CA të dytë sepse një tutorial përfshinte komanda Easy-RSA krijon punë shpërndarjeje besimi, punë kopjesh rezervë dhe një gjë të dytë që duhet revokuar saktë.

Një lëshues lokal është një angazhim për të drejtuar një CA, jo një kuti kontrolli në një udhëzues konfigurimi.

Kur Easy-RSA është zgjedhja e duhur

Për një vendosje të vogël private që ka vërtet nevojë për lëshuesin e vet, Easy-RSA jep një rrjedhë pune të fokusuar pa montuar çdo operacion me dorë. Udhëzuesi origjinal i Easy-RSA mbulon hapat e kërkesës, nënshkrimit, revokimit dhe CRL sipas radhës. Mbajeni materialin e nënshkrimit të CA-së te pronari i tij i caktuar; klientët kanë nevojë për kredencialet e tyre dhe besimin publik përkatës, kurrë një kopje të çelësit të nënshkrimit.

Një dizajn OpenVPN i bazuar në PIN është një rregullim tjetër legjitim besimi, jo një PKI e prishur që pret riparim. Dhe identifikimi në llogari nuk e heq nevojën për të vërtetuar serverin sipas çdo protokolli që keni zgjedhur.

Përgjigjuni katër pyetjeve përpara se të zgjidhni: kush miraton një identitet të re, ku jeton çelësi i saj privat, si arrin certifikata te klienti dhe si një identitet i tërhequr pushon së pranuari.