Behöver du Easy-RSA för OpenVPN? Det beror på vem som äger CA:n

En handledning säger att du ska installera Easy-RSA innan du ställer in OpenVPN, så folk antar att de två hör ihop. Det gör de inte. Easy-RSA är ett PKI-administrationsverktyg som styr OpenSSL; OpenVPN är tunneln. Den ena avgör vem som ska betros, den andra flyttar paket.

Jämförelsen som betyder något är inte vilket verktyg som är bäst. Det är vem som äger utfärdaren i din organisation.

Vad Easy-RSA faktiskt är

Projektet beskriver sig som ett PKI-administrationsverktyg för X.509, där OpenSSL gör det kryptografiska arbetet. Det betyder att det paketerar nyckelgenerering, certifikatförfrågningar, signeringspolicy och återkallelse i en upprepbar mappstruktur. Det lägger inte till ett krypteringslager på en etablerad tunnel, och det gör inte RSA starkare än samma nyckel som ett annat kompetent verktyg har skapat. Det det gör är att göra arbetsflödet granskningsbart.

Det är en verklig fördel, men en driftfördel snarare än en kryptografisk.

Följ en bärbar dator genom registreringen

En ny bärbar dator genererar sin egen nyckel och skickar in en certifikatförfrågan, så den privata nyckeln lämnar aldrig enheten. Utfärdaren signerar sedan förfrågan med en typ som väljer rätt tillägg för en klientroll. I Easy-RSA är det ./easyrsa sign-req client laptop-a.

Operatören måste fortfarande avgöra att den här personen förtjänar åtkomst. Inget signeringsverktyg härleder rättigheter från ett vanligt namn.

Det signerade certifikatet går tillbaka till enheten som har motsvarande nyckel, och VPN-distributionen levererar separat servertillit, identitetskontroller, nätverkspolicy och kontokrav. En fil i utfärdarens utdatamapp bevisar inget av detta. Bara en slutförd handskakning gör det.

Följ samma bärbara dator ut

Borttagning är där valet av utfärdare verkligen syns. Ett användbart arbetsflöde identifierar certifikatet, registrerar återkallelsen och producerar det som system som litar på det behöver för att avvisa det. Easy-RSA skiljer ./easyrsa revoke laptop-a från ./easyrsa gen-crl, och det andra steget är det som folk glömmer. Att generera en CRL hos utfärdaren levererar den inte till någon VPN-verifierare.

Distribution, beteende vid omladdning och vad som händer med sessioner som redan är etablerade är distributionsbeslut, inte verktygsfunktioner.

Den klyftan är det praktiska argumentet för ett etablerat arbetsflöde framför en hög av ad hoc openssl-kommandon. Den svåra delen med att driva en utfärdare är inte det första certifikatet. Det är att hålla utfärdanderegister, säkerhetskopior, förnyelser och borttagningar sammanhängande när enheter kommer och går.

När det redan finns en utfärdare

Om din organisation redan kör en godkänd certifikattjänst, registrera dig genom den. Att resa en andra CA eftersom en handledning innehöll Easy-RSA-kommandon skapar arbete med tillitsdistribution, arbete med säkerhetskopior och en sak till som måste återkallas korrekt.

En lokal utfärdare är ett åtagande att driva en CA, inte en kryssruta i en installationsguide.

När Easy-RSA är rätt val

För en liten privat distribution som verkligen behöver sin egen utfärdare ger Easy-RSA ett fokuserat arbetsflöde utan att sätta ihop varje operation för hand. Den ursprungliga Easy-RSA-guiden täcker stegen förfrågan, signering, återkallelse och CRL i ordning. Förvara CA-signeringsmaterialet hos dess utsedda ägare; klienter behöver egna inloggningsuppgifter och den relevanta offentliga tilliten, aldrig en kopia av signeringsnyckeln.

En PIN-baserad OpenVPN-design är en annan legitim tillitsordning, inte en trasig PKI som väntar på reparation. Och kontoinloggning tar inte bort behovet av att autentisera servern under vilket protokoll du än valde.

Svara på fyra frågor innan du väljer: vem godkänner en ny identitet, var bor dess privata nyckel, hur når certifikatet klienten och hur slutar en pensionerad identitet att accepteras.