Kuongeza mteja wa VPN bila kujenga upya CA

Unahitaji cheti kimoja zaidi kwa kompyuta mpito nyingine, lakini somo la kwanza katika matokeo ya utafutaji linaanza na amri inayofuta saraka ya PKI. Amri hiyo ni ya usanidi wa kwanza, si ya usajili, na kuitekeleza kunakugharimu CA, historia ya utoaji na kila wasifu wa mteja ulioamini mtoaji wa zamani. Uamuzi ni mwembamba zaidi: mtoaji bado ana hali inayoweza kutumika, na kifaa kipya kinalingana na sera yako ya usajili? Masharti matatu yanaamua, na moja tu ndilo linalohalalisha kujenga upya.

Kujenga upya kunaharibu nini kwa kweli

Kuanzisha PKI upya hubadilisha saraka na muundo mtupu: ufunguo na cheti vipya vya CA, hifadhidata tupu ya utoaji na kihesabu kipya cha mfululizo. Wateja hawafuati wenyewe; wasifu wao hubana CA ya zamani, kwa hiyo kila kifaa kinapaswa kusajiliwa upya, na visivyoweza kufikiwa kwa mkono.

Hasara ya utulivu zaidi ni uhasibu. Kubatilisha kunategemea kujua ni namba gani za mfululizo ulizotoa na kwa nani. Futa faharasa na bado unaweza kusaini, lakini huwezi kusema kwa uhakika ni vyeti vipi kati ya vilivyotolewa ulikusudia kubatilisha. Saraka ya CA iliyo na vyeti bila hali ya mtoaji inayolingana ni nakala rudufu inayorejesha nusu isiyo sahihi ya mfumo.

Kunakili ufunguo wa faragha wa CA kando ya seva inayofanya kazi ni njia nyingine ya mkato inayopaswa kukataliwa: inageuza mamlaka ya kusaini inayopaswa kuwa nje ya mtandao kuwa faili nyingine kwenye mwenyeji mwenye trafiki isiyoaminika.

Sharti la kwanza: hali ya mtoaji bado inafikiwa

Kabla ya kuamua, tafuta saraka ambayo seva inaamini kweli. Linganisha cheti ambacho seva inawasilisha kama CA na kile kilicho kwenye saraka ya PKI kwa alama ya kidole, si kwa jina la faili:

openssl x509 -in ca.crt -noout -fingerprint -sha256
openssl x509 -in /etc/openvpn/ca.crt -noout -fingerprint -sha256

Ikiwa alama zinalingana, usajili ni wa kuongeza na hujengi kitu upya. Ikiwa zinatofautiana, unasaini na CA ambayo seva haiamini: cheti hufungwa safi na kushindwa kwenye kupeana mikono, na kosa hilo huchunguzwa vibaya kama hitilafu ya mteja kwa saa nyingi.

Kisha tafuta hali ya utoaji: faili ya faharasa, kihesabu cha mfululizo na faili ya namba ya CRL. Ikiwa faharasa haipo lakini ufunguo upo, unaweza kutoa, lakini unarithi tatizo la kurekodi ubatilishaji. Andika hilo kwenye kumbukumbu ya mabadiliko, kwa sababu ombi la ubatilishaji lijalo litafichua.

Sharti la pili: nani ana ufunguo mpya wa faragha

Huu ni uamuzi ambao watumiaji wanauona, kwa hiyo uchukue wazi. Ufunguo unaozalishwa kwenye mteja na kuwasilishwa kama ombi hubakiza nusu ya faragha kwenye kifaa tangu amri ya kwanza, na msimamizi haugusi kamwe. Ufunguo unaozalishwa kwenye seva ni rahisi kwa vifaa visivyo na zana, lakini humfanya msimamizi kuwa mlinzi wa kila ufunguo na kupanua athari za kudukuliwa kwa seva.

Pamoja na Easy-RSA 3 dhidi ya CA iliyopo, kuagiza na kusaini ombi ni amri mbili:

./easyrsa import-req /tmp/alice.req alice
./easyrsa sign-req client alice

Chagua aina ya cheti kwa makusudi. Ombi lililosainiwa kama cheti cha seva badala ya mteja hutoa faili inayoonekana vizuri na kukataliwa na mwenzi, na ujumbe wa hitilafu mara chache husema kwa nini. Kwa openssl ca chaguo hilo hilo liko kwenye viendelezi unavyopitisha, si kwenye sehemu ya msingi.

Sharti la tatu: seva inahitaji zaidi ya cheti

Kwa OpenVPN ya kawaida yenye uthibitisho wa cheti, cheti ndicho usajili wenyewe: jina la kawaida huwa utambulisho wa mteja, na saraka, njia inayosukumwa au anwani thabiti hutegemea jina hilo. Ongeza cheti na usahau usanidi, handaki huunganisha lakini njia zinazohitajika hazionekani.

Majukwaa hubadilisha hili. OpenVPN Access Server ina hifadhidata yake ya watumiaji, kwa hiyo cheti kilichosainiwa si akaunti; akaunti lazima iwepo na iruhusiwe. Lango zingine huunganisha mnyororo wa utambulisho na kundi. Usajili wa kifaa kimoja kawaida hugusa mifumo miwili, na cheti ni cha kwanza tu.

Utaratibu wa kuongeza na wakati kujenga upya ni sahihi

Mfululizo unaoongeza kifaa kimoja bila madhara: thibitisha mtoaji kwa alama ya kidole, chukua nakala mpya ya saraka ya PKI, agiza na saini ombi kwa jukumu la mteja, wasilisha cheti pamoja na mnyororo wake kwa njia iliyoidhinishwa, kisha thibitisha kabla mtumiaji kuunganisha:

openssl verify -CAfile ca.crt alice.crt
openssl x509 -in alice.crt -noout -subject -issuer -dates -purpose

Mstari wa madhumuni unapaswa kuonyesha SSL client. Maliza kwa kusasisha nakala ya CA baada ya utoaji, kwa sababu nakala iliyochukuliwa kabla ya namba mpya ya mfululizo kurekodiwa hurejesha hali isiyo na kifaa ulichokiongeza sasa hivi.

Kujenga upya ni sahihi katika hali tatu: ufunguo wa CA umedukuliwa, hali ya utoaji imepotea bila matumaini, au unabadilisha kwa makusudi algoriti ya ufunguo au sera ya vyeti. Zote tatu ni miradi inayohitaji mpango wa kusajili upya kwa kila mteja, si hatua katika ombi la kifaa kimoja. Ikiwa hakuna kinachotumika, sajili kwa kuongeza.