Përdorni CA-n tuaj ekzistues të ndërmarrjes për peer-at e OpenVPN

Asgjë në OpenVPN nuk kërkon që certifikata të vijë nga Easy-RSA, dhe një flotë që tashmë ka një PKI organizative zakonisht nuk duhet të ndërtojë një të dytë. Puna e vërtetë nuk është zgjedhja e një mjeti, por vendosja se çfarë kuptojnë identitetet e lëshuara, cilët peer-a tuneli pranon dhe si arrijnë rinovimi e revokimi tek verifikuesi. Kaloni nëpër pesë hapat më poshtë me radhë, sepse një hap i mëvonshëm nuk mund të rregullojë një vendim roli të marrë në të parin.

Lëshoni dy role në vend të një identiteti të përbashkët

Çdo peer ka nevojë për certifikatën e vet dhe çelësin privat përkatës. Kërkoni nga ekipi PKI një identitet serveri me përdorim serveri dhe identitete klienti të ndara me përdorim klienti, në mënyrë që tuneli t'i dallojë të dy gjatë shtrëngimit të duarve.

Rezistoni shkurticat që shfaqen nën presionin e afateve. Një çelës serveri web i kopjuar në laptopë fshin dallimin nga i cili varet kontrolli i rolit, dhe një çelës nënshkrimi CA i instaluar në një pikë fundore VPN e kthen një host të komprometuar në një hierarki të komprometuar. Një paketë PKCS12 mund të mbajë një çelës pikë fundore dhe zinxhirin e tij, por nuk jep kurrë leje për të ripërdorur atë identitet në një rol tjetër.

Lidhni hyrjet e besimit në secilën anë

Klienti dhe serveri kanë nevojë secili për një ankorë besimi, identitetin e vet dhe një pritje të qartë roli. Një fragment klienti që deklaron të treja duket kështu.

client
ca /etc/openvpn/pki/issuing-root.pem
cert /etc/openvpn/pki/device-17.crt
key /etc/openvpn/pki/device-17.key
remote-cert-tls server
verify-x509-name vpn.corp.example name
crl-verify /etc/openvpn/pki/issuing.crl

Ana e serverit e pasqyron atë me remote-cert-tls client dhe certifikatën e vet, dhe kjo është ajo që pengon një certifikatë klienti të pranohet si server. Kontrolli i emrit është një vendim i veçantë nga kontrolli i rolit. Lexoni konfigurimin e vendosur për të parë cila fushë krahasohet në vend që të supozoni një përputhje emri hosti në stilin e shfletuesit. Të dyja palët duhet gjithashtu të jenë të qarta se cilit lëshues i besojnë, sepse një rrugë skedari e përbashkët në të gjithë flotën nuk është e njëjta gjë si një politikë e përbashkët.

Dorëzoni certifikatat e ndërmjetme pa zgjeruar besimin

Të dyja palët nuk duhet të ndajnë një zinxhir të vetëm lëshimi. Kur një peer paraqet një certifikatë të nënshkruar nga një e ndërmjetme, ana verifikuese ka nevojë për atë të ndërmjetme të disponueshme, dhe OpenVPN dallon hyrjen e ankorës së besimit nga certifikatat shtesë të përdorura për të plotësuar një zinxhir të paraqitur lokalisht. Referenca e opsioneve TLS të OpenVPN 2.6 dokumenton të dyja.

Një CA e ndërmjetme nuk është në vetvete problem, por një rrënjë e gjerë ndërmarrjeje e hedhur në paketën e besimit është. Sa më e gjerë ankora, aq më shumë certifikata kalojnë provën e zinxhirit, dhe një kontroll roli nuk e kthen atë në një listë të personelit të autorizuar. Ngushtoni ankorën te lëshuesi që nënshkruan në të vërtetë identitetet VPN aty ku hierarkia e lejon. Nëse nuk e lejon, dokumentoni ankorën më të gjerë si një rrezik të pranuar qëllimisht në vend që ta lini të nënkuptuar.

Bini dakord me ekipin PKI se si rinovimi dhe revokimi arrijnë te verifikuesit e VPN, duke përfshirë cilët lëshues kanë rëndësi dhe kush e publikon listën. Një pikë shpërndarjeje CRL e ngulitur në një certifikatë është një udhëzim, jo provë që dikush e ka marrë atë.

Vendosni si mbërrin në të vërtetë revokimi

crl-verify e bën verifikuesin të konsultojë një skedar ose një pikë fundore, dhe ky rregullim ka nevojë për një pronar dhe një rrugë përditësimi. Një listë e kopjuar një herë gjatë vendosjes ndalon në heshtje së mbrojturi ju herën e parë që revokohet një certifikatë.

Shkruani kohën e pritur të përhapjes dhe provojeni me një certifikatë që jeni të gatshëm të revokoni. Nëse lista nuk mund të përditësohet në hostin VPN, alternativa është një periudhë vlefshmërie më e shkurtër plus një proces rinovimi që ekzekutohet vërtet, jo supozimi se revokimi funksionon sepse ekziston një URL.

Provoni pranimin me një klient të vërtetë

Lidhni një klient që duhet të lejohet dhe konfirmoni në regjistër detajet e certifikatës së negociuar. Pastaj provoni rastet që duhet të dështojnë: një certifikatë klienti e paraqitur si server, një certifikatë nga një lëshues jashtë ankorës së besimit dhe një certifikatë e revokuar nëse keni një të tepërt.

Regjistroni lëshuesin e pranuar, kontrollin e rolit dhe burimin e revokimit pranë profilit. Ai regjistrim është ajo që i nevojitet inxhinierit të radhës kur një pajisje që funksiononte muajin e kaluar ndalon së lidhuri, dhe është gjithashtu prova se CA e ndërmarrjes përdoret brenda një kufiri pranimi të dokumentuar dhe jo si një vendhedhje besimi për qëllime të përgjithshme.