Додавање VPN клијента без поновне изградње CA

Потребан вам је још један сертификат за још један лаптоп, али прво упутство у резултатима почиње наредбом која брише PKI директоријум. Та наредба припада првом подешавању, не упису, и њено покретање вас кошта CA, историје издавања и сваког клијентског профила који је веровао старом издаваоцу. Одлука је ужа: има ли издавалац још употребљиво стање и уклапа ли се нови уређај у вашу политику уписа? Три услова одлучују, а само један оправдава поновну изградњу.

Шта поновна изградња заиста уништава

Поновна иницијализација PKI замењује директоријум празном структуром: нови CA кључ и сертификат, празна база издавања и нови бројач серија. Клијенти не следе сами; њихови профили прикивају стари CA, па се сваки уређај мора поново уписати, а недоступни ручно.

Тиши губитак је евиденција. Опозив зависи од тога да знате које сте серијске бројеве коме издали. Обришите индекс и још можете потписивати, али не можете са сигурношћу рећи које сте од преосталих сертификата хтели опозвати. CA директоријум са сертификатима без одговарајућег стања издаваоца је резервна копија која враћа погрешну половину система.

Копирање приватног кључа CA поред сервера који ради други је пречица коју треба одбити: претвара тело потписа које треба стајати ван мреже у још један фајл на хосту са непouзданим саобраћајем.

Први услов: је ли стање издаваоца још доступно

Пре одлуке пронађите директоријум коме сервер заиста верује. Упоредите сертификат који сервер представља као CA са оним у PKI директоријуму по отиску, не по имену фајла:

openssl x509 -in ca.crt -noout -fingerprint -sha256
openssl x509 -in /etc/openvpn/ca.crt -noout -fingerprint -sha256

Ако се отисци поклапају, упис је инкременталан и ништа не градите поново. Ако се разликују, потписујете CA којој сервер не верује: сертификат се чисто инсталира и пада на руковању, а та грешка се сатима погрешно приписује клијенту.

Затим потражите стање издавања: индекс, бројач серија и фајл броја CRL. Ако индекса нема а кључ постоји, можете издавати, али наслеђујете проблем евидентирања опозива. Запишите то у запис промена, јер ће га следећи захтев за опозив открити.

Други услов: ко држи нови приватни кључ

Ову одлуку корисници осете, па је донесите изричито. Кључ који генерише клијент и преда као захтев задржава приватну половину на уређају од прве наредбе и администратор је никад не додирује. Кључ генерисан на серверу лакши је за уређаје без алата, али администратора чини чуварем сваког кључа и шири последице компромитације сервера.

Уз Easy-RSA 3 према постојећем CA, увоз и потпис захтева су две наредбе:

./easyrsa import-req /tmp/alice.req alice
./easyrsa sign-req client alice

Изаберите тип сертификата намерно. Захтев потписан као серверски уместо клијентског сертификата даје фајл који изгледа добро и који партнер одбија, а порука о грешци ретко каже зашто. Уз openssl ca исти избор живи у екстензијама које проследите, не у подразумеваној секцији.

Трећи услов: треба ли серверу више од сертификата

За обичан OpenVPN сервер са аутентификацијом сертификатом, сертификат јесте упис: заједничко име постаје идентитет клијента, а директоријум, гурнута рута или статична адреса везани су за то име. Додајте сертификат и заборавите конфигурацију, тунел се повеже али потребне руте се не појаве.

Платформе то мењају. OpenVPN Access Server држи сопствену базу корисника, па потписани сертификат није налог; налог мора постојати и бити дозвољен. Други приступници везују идентитет за групу. Упис једног уређаја обично дира два система, а сертификат је само први.

Инкрементални поступак и када је поновна изградња исправна

След који додаје један уређај без штете: потврдите издаваоца по отиску, узмите свежу копију PKI директоријума, увезите и потпишите захтев за клијентску улогу, предајте сертификат са ланцем кроз одобрени канал, па проверите пре повезивања:

openssl verify -CAfile ca.crt alice.crt
openssl x509 -in alice.crt -noout -subject -issuer -dates -purpose

Линија намене треба показати SSL client. Завршите ажурирањем копије CA након издавања, јер копија настала пре уписа нове серије враћа стање без уређаја који сте управо додали.

Поновна изградња је исправна у три случаја: кључ CA је компромитован, стање издавања је неповратно изгубљено или намерно мењате алгоритам кључа или политику сертификата. Сва три су пројекти са планом поновног уписа сваког клијента, не кораци у захтеву за један уређај. Ако ништа не важи, упишите инкрементално и оставите издаваоца на миру.